ソーシャルエンジニアリングとは？人の判断を狙う攻撃と対策

ソーシャルエンジニアリングは、人の信頼や焦りを利用し、情報を渡す、送金する、操作を許可するといった行動を引き出す手口です。急な依頼はいったん保留し、相手が示したものとは別の、信頼できる連絡先で確かめます。

「上司からの急ぎの依頼だから」「困っている自分を助けてくれるから」。そう思って応じたくなる場面が、攻撃に利用されることがあります。相手の顔色や文章の自然さだけで見抜こうとせず、確認する手順を持っておくことが助けになります。

ソーシャルエンジニアリングは何を利用する？

セキュリティの話で使うソーシャルエンジニアリングは、人をだましたり、状況を誤って受け取らせたりして、攻撃者に都合のよい行動へ誘導することです。ソフトウェアの弱点を直接狙う攻撃と違い、人が情報や権限を扱う場面が狙われます。

たとえば、実在する会社を装い、「確認が必要です」と偽のログイン画面へ案内する手口です。本人は必要な手続きをしているつもりでも、入力先が攻撃者の用意した場所なら、ログイン情報を渡してしまいます。これはフィッシングの例で、人の判断を利用する攻撃の一つです。

情報を聞き出すだけではない

パスワードを聞くほか、振込先を変えさせる、遠隔操作を許可させる、認証の確認を承認させるなどの形があります。「秘密を教えなければ大丈夫」とは限りません。

また、技術的な攻撃と組み合わせられることもあります。だましてソフトを入れさせた後に、そのソフトが情報を盗む場合もあるため、「人をだます攻撃ならマルウェアは関係ない」と分け切る必要はありません。

被害を性格や注意力だけの問題にしない

人の依頼に応じたり、困ったときに助けを求めたりすること自体は、日常に必要な行動です。攻撃者は、その行動を自分に都合のよい場面へ向けようとします。

MDNの解説も、忙しいときや疲れているときなどには、誰もがこうした攻撃の影響を受け得ると説明しています。MDNのソーシャルエンジニアリング解説

「絶対にだまされない人になる」ことだけを目標にすると、判断を間違えたときに言い出しにくくなります。迷ったら止められること、気づいたら相談できることも対策です。

ビジネスメール詐欺や偽サポートが急がせる理由

急な期限や強い肩書きが出てくると、依頼が本物かを確かめる前に、「どう間に合わせるか」を考えてしまうことがあります。手口の名前を全部覚えるより、相手が何を急いでさせようとしているかを見ると、確認すべき点をつかみやすくなります。

ビジネスメール詐欺は、いつもの仕事の続きに見える

ビジネスメール詐欺は、取引先や社内の人物などを装い、送金先の変更などを指示する手口です。実際のやり取りが盗み見られ、その内容に合わせた依頼が届く場合もあります。

そのため、相手が会社名や担当者名、進行中の仕事を知っていることだけでは、本物と判断できません。「これまでの話とつながっている」ことと、「今回の変更が本人の依頼である」ことは別です。

たとえば、締め切り直前に口座変更の依頼が届いたとします。これは手口を説明するための架空の場面です。そこで確認したいのは文章の丁寧さだけではなく、いつもと違う送金先へ変える根拠と、変更を確認する相手です。

偽サポートは、不安と解決策を一緒に見せる

突然の警告音や「ウイルスに感染」という画面に続けて、電話番号や修復方法を示す手口があります。困ったことが起きたと思わせ、その場で示した窓口へ向かわせます。

警察庁は、偽の警告画面が感染の有無にかかわらず表示されることや、実在する企業のロゴが使われる場合を説明しています。画面が大きい、音が鳴る、知っているロゴがある、といったことだけでは、正規の診断結果とは判断できません。警察庁のサポート詐欺対策

警告の中にある電話番号へかけたり、その指示でソフトを入れたりする前に、いったん操作を止めます。普段のメーカー窓口や組織の担当者へ、別の方法で確認します。ブラウザの仕組みが分からない場合は、ブラウザとは何かも参考になります。

どれも、要求があるだけで必ず詐欺と断定する表ではありません。重要な操作を行う前に、相手と目的を確かめるための目安です。

ソーシャルエンジニアリング対策は別の連絡経路で確認する

ポイントは、「確認したつもり」で同じ相手に戻らないことです。疑わしいメールへ「本当ですか」と返信しても、攻撃者が返事をすれば確認にはなりません。メールに書かれた電話番号も、その相手が用意したものかもしれません。

IPAは、取引先になりすましたメールが疑われる場合、別の手段を使い、信頼できる方法で入手した連絡先へ確認するよう案内しています。メールの署名欄も偽装され得るため、そこにある番号をそのまま使わない点が大切です。IPAのビジネスメール詐欺FAQ

「確認してから対応します」を普段の手順にする

相手が本物でも、重要な依頼を確認することはできます。たとえば「変更の確認が必要なので、登録済みの連絡先へ折り返します」と伝えれば、その場で真偽を言い当てる必要はありません。

会社なら、送金先変更を一人の判断で完了させない、急ぎでも同じ確認を行う、相談した人を責めない、といった運用を決めておきます。家族の間でも、お金やログインに関わる急な依頼は、いつもの連絡方法へ戻して確認すると話しておけます。

二要素認証も大切な備えですが、知らない相手へ確認コードを伝えたり、身に覚えのない認証を承認したりすれば、守りを弱める場合があります。二要素認証の役割を知り、認証があるからすべての依頼が本物だとは考えないようにします。

すでに応じたと気づいたら、早めに相談する

自分を責めて判断を先延ばしにせず、何をしたかを分けて伝えます。「情報を入力した」「認証を承認した」「ソフトを入れた」「送金した」では、必要な対応先が変わります。

会社の端末や情報なら管理担当者へ、送金や決済なら利用した金融機関・決済会社の公式窓口へ、アカウントならそのサービスの公式窓口へ連絡します。やり取りや支払いの記録は、相談に使えるよう残してください。相手に再び連絡して、解決費用を追加で支払う必要はありません。

本稿の公式資料の確認日は2026年10月22日です。具体的な被害への対応は、利用サービスや管理者の案内に沿って進めてください。

急な依頼が来たら、いったん止めて、普段の連絡先へ戻る。 その手順を一つ決めておくだけでも、その場で一人きりで判断する負担を減らせます。