オフィスの電話回線のご相談はお気軽にお問い合わせください。
防犯カメラ導入のご相談はお気軽にお問い合わせください。
テレワーク導入のご相談はお気軽にお問い合わせください
ホームページ制作のご相談はお気軽にお問い合わせください。
企業向けパソコン導入のご相談はお気軽にお問い合わせください。
ウォーターサーバー導入のご相談はお気軽にお問い合わせください。
全メーカー対応！新品・中古ビジネスフォンを激安で販売
新品・中古複合機が業界最安値！リースや保守も安心価格
社用携帯の新規契約・乗り換え・機種変更が圧倒的な安さ
もうビジネスフォン不要！社員のスマホで電話業務が完結
サイバー攻撃を遮断！企業を守るセキュリティ商品を完備
ビジネスフォンの各種工事を格安＆スピーディに一括対応
オフィスのネットワーク環境構築から配線工事までお任せ
有資格のプロが対応！オフィスの電気工事をフルサポート
オフィス・事務所移転を低コスト＆スピーディに徹底支援
IT専門家による経営革新＆業務改善コンサルで課題を解決
SEO集客で成功へ導く！丸投げOK＆本格運用の”FUKUJIN”
高寿命・省エネのLED蛍光灯でオフィスの電気代を削減
店舗やオフィスの集客力UPに効果的な電光掲示板を販売
・・・このような疑問や不安をお持ちの方は必見です！
今回は「ソーシャルエンジニアリング」とは何か、具体的な手口から対策まで徹底解説します。 思いもよらないことによる情報漏えいが重大な事故に繋がる恐れがあるため、ここで適切な対策を把握して、日頃からセキュリティ意識を高めましょう。
この記事の目次
「ソーシャルエンジニアリング」とは、ネットワークに侵入するための個人情報をインターネットなどの通信技術を使わずに盗み出す手法です。 マルウェアなどの悪質なサイバー攻撃と違い、普段の何気ない行動や人間のわずかな心理の隙を狙います。
厄介なことに、ソーシャルエンジニアリングの手口は年々巧妙化しています。
しかし、ソーシャルエンジニアリングはサイバー攻撃のようなログや足跡が残りません。 つまりたとえソーシャルエンジニアリングによる情報漏洩が起きても、いつどこで情報が盗まれたのかという特定はほぼ不可能というわけです。
ソーシャルエンジニアリングの特徴が理解できたところで、具体的にどのような手口で行われているのでしょうか。
ここでは、ソーシャルエンジニアリングの代表的な手口・種類を解説します。
フィッシングとは、スパムメールなどからユーザーを偽サイトへ誘導し、個人情報を盗む手法。 金融機関を装って、実際のサイトと酷似した偽サイトから銀行の口座番号・クレジットカード番号・パスワードを抜き出すといった手口が有名です。
フィッシングの中には、「スピアフィッシング」という手法もあります。 企業内の特定の社員1名を標的とし、上司や管理職の社員を装って機密情報を聞き出すようなメールを送りつける手法です。
また、フィッシングと類似した手法に「ファーミング」があります。 ファーミングは、DNSの設定を不正に改ざんして不正なサイトへ強制的に遷移させる手法。 URLの表記は正規であるため、メールに記載されていても見極めが非常に困難です。
DNSとは？
DNS（Domain Name System）は、TCP/IPのアプリケーション層で使われるプロトコル（標準的に使われているプロトコル）の一つ。 インターネット上のホスト名や電子メールのアドレスに使われる「ドメイン名」と、「IPアドレス」との対応づけを管理するために使用されるシステム。
フィッシング詐欺の意味とは？手口・被害事例やセキュリティ対策を解説
標的のユーザー名などを入手して、サービス利用者本人を装い、電話で管理者にパスワードを聞き出す手法があります。
これはソーシャルエンジニアリングの中でも、古くからある代表的な手口です。 サービス利用者を装うだけでなく、管理者側になりすまして利用者に直接情報を抜き出すケースも存在します。
古くから存在する手法ですが、完全な対策が存在しません。 よって社内での取り決めや、電話での情報入手を怪しむ社員の意識が大切になります。
「ショルダーハッキング」とは、個人情報を入力している時に本人の後ろから覗き込んで情報を盗み見する手法です。
オフィス内の社外の人が出入りがある場所や、最近ではフリーランスの方が作業するカフェやコワーキングスペースでも、ショルダーハッキングの危険性があります。
社内でも、個人情報を入力するときは周りに誰もいないか必ず確認する癖づけが大切です。
「トラッシング」とは、不正アクセスの対象となるネットワークに侵入するために、ゴミ箱に捨てられた資料を漁って盗み出す手口。 実は、ソーシャルエンジニアリングの中でもよく利用される手法です。
ネットワークに侵入するためのサーバ設定情報や、IPアドレス・パスワード関連の情報が記載された資料が代表的ですが、社員の付箋や古い名刺なども狙われます。
またトラッシングでは紙媒体だけでなく、廃棄物処理箱にあるハードディスクの記憶媒体を盗み、中に保存されている破棄が完了していないデータを盗むケースもあります。
「プリテキスティング」は、専門業者になりすましてユーザーの情報を不正に盗み出す手法。
ソーシャルエンジニアリングの代表的な手口の一つで、業者になりすまして標的を不安にさせたり、関心を与えることで情報を盗みやすくします。
例えば、セキュリティ業者になりすましてハッキング被害があると伝え、不正にOSやソフトウェアのバージョンを聞き出す手口が代表的。 対策が難しい手口ですが、ケース別のマニュアルや具体的な事例の共有などが効果的です。
ソーシャルエンジニアリングの手口を解説しましたが、どれも完全に対策することは困難。 では次に、ソーシャルエンジニアリングから情報を守るためのセキュリティ対策を解説します。
複合的に取り入れることでより強力なセキュリティ対策ができるので、ぜひ一つひとつ理解していきましょう。
ソーシャルエンジニアリングのもっとも大切な対策は、社員一人ひとりがセキュリティ意識を持つように教育することです。
個人でできるセキュリティ対策はたくさんありますが、ここでは特に意識しておきたい対策を解説します。
離席時にはPCをロックすると、ショルダーハッキングを防止できます。 短い時間であっても、その隙につけ込んで情報が抜き出される危険がありますし、PCをスリープしただけでは効果がありません。 離席時にはPCをロックして、再開時には必ずパスワードを入力してロック解除しましょう。
離席時にデスクを片付けることを「クリーンデスク」といい、企業セキュリティ対策の基本です。 ソーシャルエンジニアリングでは、デスクの上に放置されている書類を盗み見したり、そのまま持ち出されることもあります。 席を離れるときは、どのような書類であってもキャビネットや引き出しに収納しましょう。
社内で書類を収納している引き出しなどは、必ず施錠して離席・退勤しましょう。 デスク上に書類を置いておいたり、施錠されていない引き出しに書類をしまっておくと盗難のリスクがあります。 退勤時には、付箋などのちょっとしたメモ書きも含め書類全て施錠できる引き出しに収納してください。
重要な書類を破棄するときは、必ずシュレッダーを使いましょう。 書類をそのままゴミ箱に捨てると「トラッシング」の標的となり、情報が盗まれる危険性があります。
また書類を破いて捨てるだけでは、簡単に復元されるので必ずシュレッダーで処理を。 さらに旧式のストレートカットタイプのシュレッダーでは、裁断された紙くずから復元された事例があるため、必ずマイクロカット方式の製品をお使いください。
不審なアドレスから来るメールや添付ファイルは無視し、開かないように気を付けましょう。
社員一人ひとりが不審なメールを開かないこと、普段から宛先や件名をチェックすることが大切。 違和感を感じたら、メールを開かずに管理部やシステム部などの専門部署に相談してください。
また社員の負担を減らすために、スパムメールを受信する前に検知できるソフトウェアの導入も効果的です。
社内では社員証を首からかけるなど、常に社員証を携帯させておくことで外部と区別するといった対策も有効です。
特にアルバイト・パート・正社員が同じオフィスで勤務している場合は、社員証の色分けするなどの工夫が必要です。
さらに、オフィス内の入退室管理は必ず残しましょう。
頻繁に来訪者がある場合は、入退室管理に加えて入室できる部屋を設定することも効果的です。
会社が管理しているSNSアカウント以外では、企業の名前などを書かないようにしましょう。
SNS上では、不特定多数のユーザーがいつどこで見ているか分かりません。 所属している企業の名前や自分の行動を公開する行為は、情報漏洩につながります。
所属している企業が明らかになると、ソーシャルエンジニアリングによって本人になりすまし、会社から情報を抜き出されるリスクが高まります。
また、取引先や所属する企業に関心がある業者になりすました相手とSNSのダイレクトメッセージでつながり情報漏えいした、という事例もあります。
ソーシャルエンジニアリングは、人間の「油断」や「隙」を狙って情報を盗み出す手口。 つまりどれだけ個人が意識していても、完璧に防ぐのは難しいというのが現状です。
そこでソーシャルエンジニアリングを含め、あらゆるサイバー攻撃を未然に防ぐためには「セキュリティ対策商品」の導入がおすすめです！ 当社「OFFICE110」では、企業のセキュリティ診断から商品のご提案、導入、アフターサービスまでトータルでサポートしております。
では早速、OFFICE110が提供するおすすめのセキュリティ商品を2つ厳選してご紹介します。
「CYBER BOX PRO」は、社内のデータを安全に保存・共有できる多機能、大容量のNAS。
さらにサイバー攻撃から守るセキュリティソフトを搭載していたりと、中小企業に必要なセキュリティ機能をパッケージ化した最高峰セキュリティシステムです。
セキュリティソフトを一つひとつ入れると高額になりますが、Cyber Box Proはあらゆる機能をパッケージ化しながら月額9,800円～と安価に抑え、導入のしやすさも実現しています。
「RUF3-HSシリーズ」は、堅牢な強制暗号化機能を搭載したセキュリティUSBメモリです。
通常のUSBでは、ソーシャルエンジニアリングにより、破棄したはずの機密情報が入ったUSBメモリが盗まれてデータを読み取られる危険性があります。
しかしRUF3-HSシリーズなら、自動でデータの暗号化ができる上に、許可したデバイスのみ接続を許可するデバイス制御のソフトにも対応し、大切なデータを安全に管理・共有できます。
今回はソーシャルエンジニアリングとは何か、その代表的な手口から具体的な対策まで徹底解説してきました。
ソーシャルエンジニアリングは、日常にある人間の隙を狙って情報を盗み出します。 そのためソーシャルエンジニアリングの対策には、企業の全体的なセキュリティ管理だけでなく、社員一人ひとりのセキュリティ意識が欠かせません。
どれも今日から行える対策なので、少し意識するだけでソーシャルエンジニアリングに対して大きな効果を得ることができます。 ぜひ、本記事を参考にソーシャルエンジニアリングの対策を徹底しましょう。
お役立ち情報カテゴリ
