A社では、システム部門を名乗る人物から社員に電話があり、障害調査を理由にIDと パスワードを尋ねられた。ほかにも、入力中の画面を背後からのぞき見る行為や、 廃棄書類をごみ置き場から持ち去る行為が確認されている。 これらに共通する脅威の説明として、最も適切なものはどれか。
正解：ア
ア情報システムの技術的な弱点ではなく、人の心理や行動の隙を突いて情報を得る。
正解。ソーシャルエンジニアリングです。電話で聞き出す、のぞき見る、 ごみをあさるという手口は、どれもプログラムやネットワークの欠陥を使いません。 情報を持っている人そのものを狙う点が共通しています。
イ通信経路を流れているデータを第三者が途中で読み取り、その内容を知る。
誤り。これは盗聴の説明です。無線LANの電波や通信回線を対象にした技術的な行為で、 人とのやり取りを介しません。同じ「情報を得る」でも、 狙う先が通信路なのか人なのかで区別します。
ウ組織の内部者が、業務のために与えられた権限を悪用して情報を持ち出す。
誤り。これは内部不正の説明です。正規の権限をもつ人が自ら行う点が特徴で、 権限のない外部者が権限をもつ人をだまして聞き出す手口とは立場が逆です。 本人が権限をもっているかどうかが分かれ目になります。
エ不特定多数の宛先に対して、受信者の同意なく大量のメールを送りつける。
誤り。これは迷惑メール（スパム）の説明です。相手を選ばず大量に送るのが特徴で、 電話やのぞき見のように相手の状況に合わせて働きかける手口ではありません。 標的が不特定か個別かが違います。
狙われているのは機械ではなく人
ソーシャルエンジニアリングは、技術的な弱点ではなく、人の心理や行動の隙を突いて 情報を手に入れる手口の総称です。「急いでいる」「専門部署からの依頼には従う」 「見られていないと思っている」といった、誰にでもある傾向を利用します。
どんなに長く複雑なパスワードを設定していても、本人が電話口で読み上げてしまえば 意味がありません。守りが固い建物ほど、正面から入るより「中の人に開けてもらう」 ほうが早い、という発想です。
技術を使わない代表的な手口
- 関係者や専門部署になりすまして電話をかけ、IDやパスワードを聞き出す
- 画面やキーボードを背後からのぞき見る（ショルダーハッキング）
- ごみ箱や廃棄書類から情報を拾う（スキャベンジング）
- 入館する人のすぐ後ろについて、認証を受けずに立ち入る
似た脅威との違い
| 脅威 | 狙う対象 |
|---|---|
| ソーシャルエンジニアリング | 情報を知っている人。心理や行動の隙を突く |
| 盗聴 | 通信経路。流れるデータを途中で読み取る |
| 内部不正 | 権限をもつ本人が、その権限を悪用する |
| 迷惑メール（スパム） | 不特定多数。相手を選ばず大量に送る |
試験では、電話・のぞき見・ごみあさりのように装置やプログラムを介さない手口が 並んでいたら、ソーシャルエンジニアリングを疑います。防ぐ側も技術ではなく、 本人確認の手順を決める、離席時に画面を伏せる、書類を裁断するといった運用が中心です。