ソーシャルエンジニアリング
人の心理や習慣の隙を突いて、情報を聞き出したり、アクセスを得たり、不正な行為をさせたりする手口の総称です（英語では social engineering）。技術的な守りを迂回して、人を通じて入り込みます。
定義
NIST の用語集は、次のような定義を載せています。
- システムやネットワークへの攻撃に使える情報（パスワードなど）を明かすよう、人をだまそうとすること（NIST SP 800-82r3）
- 相手と関わって信頼を得たうえで、機微な情報を明かさせたり、許可のないアクセスを得たり、不正を働いたりするよう、人を欺くこと（NIST SP 1800-21B、SP 800-63-4 ほか）
主な手口
| 手口 |
特徴 |
| フィッシング |
なりすましたメールや Web サイトで、情報を入力させる |
| ビッシング |
電話で、IT 部門やサポートの担当などを装う |
| 口実を使った聞き出し |
新しい社員、修理の担当、研究者などを名乗って質問を重ね、得た情報をつなぎ合わせる。1人から十分に聞き出せなければ、同じ組織の別の人に、最初の人から得た情報を使って近づく（CISA の解説） |
| 経営層へのなりすまし |
経営層を装って、相手を説得し、自分たちのために行動させる（MITRE ATT&CK Mobile T1660） |
MITRE ATT&CK（攻撃者の手口を整理した公開の知識ベース）は、信頼できる相手を装うことと、急ぎや不安を感じさせることを、よく伴う要素として挙げています（T1566.004）。
守る手段
| 手段 |
何をするか |
| 確かめる手順 |
パスワードの初期化、認証器の再登録、振込先の変更、送金の依頼などは、依頼が来た経路とは別の経路（登録済みの電話番号へのかけ直しなど）で本人に確かめる。手順として決め、急ぎでも省かない。CISA は、正規の組織の者を名乗る知らない相手については、その組織に直接問い合わせて身元を確かめるよう勧めている |
| 権限と承認 |
重要な操作は1人で完結させない（職務の分離） |
| フィッシングに強い認証 |
FIDO2／WebAuthn（パスキー、セキュリティキー）などを使い、パスワードを聞き出されても、それだけでは入られにくくする。ただし、ヘルプデスクをだまして認証器を再登録させる手口や、遠隔管理ツールを導入させる手口には効かないので、上の確かめる手順と組み合わせる（多要素認証） |
| 物理的な守り |
入館の管理、共連れの防止 |
| 報告と教育 |
手口を知り、怪しいと思ったら報告する。報告した人を責めない |
関連するページ
出典
確認日：2026年10月16日
ATT&CK：© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.（
Terms of Use）
最終更新：2026年10月17日 08:01
