わかりやすく ソーシャルエンジニアリング とは

いちばん弱い輪

鎖はいちばん弱い輪で切れます。太い輪がどれだけ多くても、弱い輪が一つ持ちこたえられなければ、鎖全体がくずれます。セキュリティも同じです。暗号が強く鍵が頑丈でも、それを扱う人がうっかり扉を開ければ、残りはすべてむだになります。
だから攻撃者は、いちばん頑丈な技術ではなく、いちばん弱い輪、つまり人をねらうことがあります。これは人が愚かだという意味ではありません。技術は毎回同じ規則で動きますが、人は忙しく、疲れ、他人を信じるからです。この事実をまず認めるところから、守りが始まります。

強い鍵をたたいてみて、人が扉を開けるほうも押してみましょう。技術はびくともしませんが、扉が開けば鍵は役に立たなくなります。

鍵のほうはどれだけたたいてもびくともしなかったのに、人のほうの扉が開くと、強い鍵がまるごと意味をなくしました。攻撃者がねらうのはまさにここです。難しい技術を破ろうと苦労する代わりに、そのそばのもっと楽な道を探すのです。
怖く聞こえますが、おびえる必要はありません。こうした攻撃が実際に多く、メールやメッセージ、電話のように毎日使う道を通ってやって来ると知っておくだけで、もう半分は備えたことになります。では、攻撃者は人の何をつつくのでしょうか。

人の何をねらうのか

攻撃者は、人のよい心を逆手にとります。具体的な手口を覚える必要はなく、どんな気持ちがねらわれるかだけ知っておけば十分です。よくつかれる気持ちは三つあります。
一つ目は焦りです。考えるすきを与えず、いますぐやれとせき立てます。二つ目は権威です。上司や公的機関、銀行のふりをして従わせます。三つ目は思いやりです。困ったふりをして近づき、人を助けたい気持ちを使います。恐れや好奇心をいっしょにつくことも多くあります。こうした合図が見えたら、まず立ち止まるのがよいでしょう。

三つの気持ちを一つずつ押して見てみましょう。焦り、権威、思いやりのような気持ちがねらわれる、という点だけ知っておけば十分です。

三つとも、じつは私たちのよい面です。物事を早く片づけたい気持ち、目上の人を敬う気持ち、人を気づかう気持ちです。攻撃者は、このよい心を逆にねじります。
だからといって、冷たく疑い深い人になれということではありません。よい心はそのままに、せかされたときに一度立ち止まる習慣を足すだけでいいのです。立ち止まったあとにすることは一つ、その頼みが本当に本物かを確かめることです。その方法が次に出てきます。

確かめる習慣

急な頼みが届いたとしましょう。その頼みが来たまさにその道ですぐに答えると、危ないことがあります。道そのものが作りものかもしれないからです。送り主の名前や番号、画面の見た目は、いくらでもまねできます。
そこで守りのこつは、道を変えることです。電話で何かを求められたら、その番号に聞き返さず、自分がもともと知っている公式の番号に別にかけて確かめます。メッセージの中のリンクをすぐ押す代わりに、ふだん使うアプリや自分で入力したアドレスから入って確かめます。同じことを、別の道でもう一度確かめるのです。

二つの対応を押して比べましょう。来た道ですぐ答えるより、公式の道で別に確かめるほうが安全です。

二つの道を並べると、違いがはっきりしました。来た道ですぐ答えると、その道がにせ物だったときに防ぎようがありませんが、公式の道で別に確かめれば、にせ物はそこではじかれます。確かめるのに数分よけいにかかるかもしれませんが、その数分が大きな事故を防いでくれます。
本当に急ぎの用でも、確かめ直して困ることはありません。むしろ、確かめさせまいとしたり、秘密にしろと言ったり、怒ってせかしたりするなら、そのほうがずっと怪しい合図です。では、疑うことそのものがなぜ守りになるのかをまとめましょう。

疑うことが守りになる

ソーシャルエンジニアリングに立ち向かう武器は、大げさなものではありません。身についた小さな習慣がいくつかあれば十分です。一つ目、ゆっくりやる。せかされるほど、一度立ち止まって息を整えます。二つ目、別の道で確かめる。いま見たように、公式の道で別に聞きます。
三つ目、秘密は言わない。パスワードやメッセージで届いた認証番号は、誰に聞かれても教えません。本物の機関は、そうした秘密をまるごと聞いたりしないからです。認証の回で見た二つ目の段階も、その番号を人に渡した瞬間に意味がなくなります。

三つの守りのルールを順に押して身につけましょう。ゆっくりやる、別の道で確かめる、秘密は言わない、の三つです。

三つのルールをそろえてみると、どれも難しい技術ではありません。ひと呼吸おき、もう一度確かめ、秘密を口にしないという態度にすぎないのです。だからソーシャルエンジニアリングへの守りは、特別な道具や知識がなくても誰にでもできます。
もうだまされたと感じたら、恥ずかしがって隠さないことが大切です。すぐにパスワードを変え、その機関に公式の道で知らせ、職場なら担当の部署に届け出ます。早く知らせるほど、被害は小さくなります。疑うことは失礼ではなく、自分と人を守る礼儀です。

まとめ

まとめるとこうなります。暗号がどれほど強くても、いちばん弱い輪は人です。攻撃者は技術の代わりに人の心をねらうことがあり、焦りや権威、思いやりといった気持ちをつきます。手口を覚える必要はなく、こうした攻撃があると知っておくことで十分です。
守りは三つの習慣です。ゆっくりやる、別の道で確かめる、秘密は言わない。もうだまされたなら、隠さずに早く知らせます。落ち着いて疑い、確かめる習慣が、いちばん頑丈な盾です。

四つの要点を順に押してふり返りましょう。いちばん弱い輪は人、ねらわれるのは心、別の道で確かめる、疑うことが守り、の順です。

これで、セキュリティの人の側の部品を手にしました。暗号と鍵がどれほど頑丈でも、それを使う人が目を覚ましていて、はじめて完成します。見なれない急な頼みの前で一度立ち止まるその瞬間、私たちはもういちばん強いセキュリティを使っているのです。
ここまで学んだ暗号、認証、ファイアウォール、そして人の習慣は、ばらばらに使うものではありません。次の回では、これらの部品をどう組み合わせれば安全な仕組みになるのか、セキュリティを設計する原則を見ます。