今回は「ソーシャルエンジニアリング」についてお話します。
通常、ネットワークシステムへの不正侵入というと、ハッキングなどのコンピューターや、ネットワークの技術を利用して行うことをイメージする人が、多いと思われるのですが、「ソーシャルエンジニアリング」ではそのような手法は使いません。

「ソーシャルエンジニアリング」では、聞き耳を立てたり、覗き見をしたり、はたまた、ネットワークの管理者・ユーザを言葉巧みにだまして、パスワードを教えてもらうことなどによって、ネットワークに侵入しようとします。

パソコンにパスワードを入力しているところを肩越しに覗き見ることをショルダーハッキングといいます。
会社内では、覗き見されることに警戒していないケースは多いものです。
私はサポート依頼を受けて企業のパソコンルームにはいったことがありますが、他者がそばにいるにもかかわらず警戒する様子はありませんでした。

パソコンのディスプレイにパスワードが書かれたポストイットが張り付けられている例もいまだに見かけることがあります。
ちらっと見ただけで記憶してしまう芸を持った人間がいますので、他人が出入りできる場所に、ポストイットを張るのはやめたほうがいいでしょう。
また、情報漏えい事件の大半は内部犯行ですので、同僚といえども見られていいわけではありません。

最後に、「ソーシャルエンジニアリング」といえばこんなやつだよなという事例を一つ上げます。

ある通信会社の技術サポートに電話がかかってきます。
「お疲れ様です。一ノ谷です。今、お客さんのところで、回線の導通テストをやっているんですがパスワードが拒否されて困っているんです。新しいパスワードを教えてください」
同僚が出先で困っていると思ったサポート担当者はすぐに有効なパスワードを教えてしまいました。

同僚が困っていると信じたら、助けたいと思う気持ちは普通のことなので、たったこれだけで、パスワードが流出してしまうことがあるのです。

「ソーシャルエンジニアリング」はセキュリティ対策ソフトでは防げません。
これを防ぐには、組織内部に情報管理ルールを整備すること。
次に管理ルールの徹底がなぜ必要なのかをすべての関係者に理解させることが重要です。

参考記事　米国政府機関で相次ぐハッカー攻撃　「ソーシャルエンジニアリング」に注意

ツイート

このページのトップへ