コンピューターではなく、人間を狙う——「ソーシャルエンジニアリング」という攻撃

Index

あなたの判断が狙われている——人間の心理を利用するサイバー攻撃「ソーシャルエンジニアリング」とは

「ハッキング」と聞くと、高度なプログラミング技術を使い、コンピューターやネットワークの弱点を突いてシステムに侵入する行為を想像する人が多いのではないだろうか。しかし、サイバー攻撃には、コンピューターの技術的な弱点ではなく、人間の心理や行動を狙う手口がある。

パスワードを解析するのではなく、本人に教えてもらう。システムに侵入するのではなく、正規の利用者に自ら扉を開けてもらう。これが「ソーシャルエンジニアリング（Social Engineering）」と呼ばれる攻撃手法だ。

「ソーシャルエンジニアリング」はSNSのことではない

「ソーシャルエンジニアリング」と聞くと、SNSを利用した詐欺や、ソーシャルメディアに関係する技術を想像する人もいるかもしれない。しかし、ここでいう「ソーシャル」はSNSのことではない。人間社会における人と人との関係や、心理、行動を意味している。

つまり、SNSを使うかどうかに関係なく、人間の心理や信頼関係を利用して情報を盗んだり、不正な操作をさせたりする手法のことだ。電話で銀行員を装うのも、メールで偽の警告を送るのも、サポート担当者を装ってチャットで認証コードを聞き出すのも、その手法に含まれる。SNSは、あくまで攻撃に利用される手段の一つにすぎない。

コンピューターではなく、人間を狙う

ソーシャルエンジニアリングは、コンピューターやネットワークの脆弱性を直接攻撃するものではない。人間が持つ信頼感、恐怖心、好奇心、責任感、親切心などを利用し、本人に情報を提供させたり、不正な操作をさせたりする。

例えば、銀行のシステムに侵入して口座情報を盗むのではなく、銀行員を装って利用者に接触し、本人からログイン情報や認証コードを聞き出す。技術的なセキュリティを突破する必要はない。利用者自身が正規の手続きだと信じて情報を渡してしまえば、攻撃者の目的は達成されてしまう。つまり、攻撃対象はコンピューターではなく、それを操作している人間なのだ。

親切なサポート担当者が、実は攻撃者かもしれない

身近な例として、サポート担当者を装う手口がある。例えば、あるサービスで不具合が発生し、困っているところにサポート担当者を名乗る人物から連絡が届いたとする。

「ご不便をおかけして申し訳ありません。状況を確認しますので、いくつか質問させてください」

丁寧な言葉遣いで状況を聞き、専門的な説明を交えながら解決方法を案内してくれる。最初は何の不自然さもない。ところが、やがて次のような要求が始まる。

「安全確認のため、本人確認が必要です」
「確認コードを教えていただければ、こちらで処理できます」
「原因を調べるため、画面を共有してください」
「遠隔操作ソフトをインストールしてください」

相手を信用してしまうと、疑問を持たずに応じてしまうかもしれない。しかし、こうした要求によって、アカウントを乗っ取られたり、個人情報を盗まれたり、端末を不正に操作されたりする可能性がある。

重要なのは、最初から怪しい要求をするわけではないということだ。まず信頼関係を築き、相手が安心したところで、少しずつ要求をエスカレートさせていく。これもソーシャルエンジニアリングの典型的な特徴である。

人間の心理を利用する、さまざまな手口

攻撃者は、人間が持つ心理的な特徴を巧みに利用する。

権威性：警察、銀行、行政、企業の担当者などを装い、相手に信用させる。
緊急性：「今すぐ対応しないとアカウントが停止される」などと説明し、冷静に確認する時間を奪う。
恐怖心：「不正アクセスが発生しています」「あなたの個人情報が流出しています」と不安をあおる。
好奇心：「あなたに関する重要なお知らせ」など、内容を確認したくなる言葉で誘導する。
信頼関係：親切で丁寧な対応を繰り返し、相手に安心感を持たせる。

こうした心理は、特別な知識がない人だけが持っているものではない。誰もが日常的に持っている、ごく自然な心理だ。だからこそ、知識や経験がある人でも被害に遭う可能性がある。

現在の詐欺でも広く使われている

ソーシャルエンジニアリングは、過去の古典的な詐欺手法ではない。現在のインターネット詐欺やサイバー攻撃にも深く関係している。

偽の銀行員や警察官を装った電話
企業やサービスの公式サポートを装うチャット
偽の配送通知や銀行からのメール
SNSからLINEなどへ誘導する投資詐欺
ウイルス感染を装った偽のセキュリティ警告
実在する人物になりすました音声や映像による詐欺

警察庁が公表した2025年の確定値では、特殊詐欺の認知件数は27,832件、被害額は約1,423億円に達している。また、SNS型投資詐欺は9,523件、被害額は約1,288億円、SNS型ロマンス詐欺は5,645件、被害額は約546億円だった。

これらすべてがソーシャルエンジニアリングに分類されるわけではないが、人間の心理や信頼を利用する手口が、現在の詐欺で重要な役割を果たしていることが分かる。

AIによって、さらに見分けにくくなる

生成AIの普及によって、こうした攻撃は新たな段階に入っている。従来の詐欺メールには、不自然な日本語や誤字脱字など、見分ける手掛かりがあった。しかし、生成AIを使えば、自然な日本語で相手の質問に応じたり、状況に合わせて説明を変えたりすることが容易になる。

さらに、実在する人物の声を模倣した音声や、映像を使ったなりすましも可能になっている。これまでは、文章の不自然さや対応の違和感が判断材料になることもあった。しかし、そうした特徴だけでは見分けられなくなりつつある。

また、AIエージェントの普及によって、人間だけでなくAIそのものを誘導する攻撃も問題になっている。外部のウェブページや文書に仕込まれた不正な指示によって、AIに本来の目的とは異なる操作をさせようとする「間接的なプロンプトインジェクション」もその一例だ。攻撃対象が人間からAIへ、そして人間とAIの両方へと広がりつつある。

自分を守るために必要なこと

ソーシャルエンジニアリングへの対策は、難しい技術を覚えることではない。大切なのは、相手が提示した状況を、そのまま事実として受け入れないことだ。

相手が名乗る会社や組織が本物か、公式サイトから確認する。
相手から送られたリンクではなく、自分で公式サイトやアプリを開く。
パスワードやSMSなどの認証コードを、チャット相手に教えない。
遠隔操作ソフトの導入を安易に承諾しない。
不安や緊急性をあおられたときほど、一度立ち止まる。
重要な指示や送金依頼は、別の連絡手段で本人に確認する。

特に、認証コードは本人確認のための重要な情報だ。サポート担当者を名乗る相手であっても、安易に伝えてはいけない。

最後に狙われるのは、人間の判断力

ソーシャルエンジニアリングの本当の怖さは、被害者が自分で情報を渡し、自分で操作しているという点にある。システムに侵入されたわけでも、パスワードを無理やり突破されたわけでもない。本人は正しい手続きをしているつもりなのだ。

だからこそ、セキュリティ対策はウイルス対策ソフトや複雑なパスワードだけでは完結しない。親切だから信用する。急いでいるから従う。専門家らしいから任せる。その判断が、攻撃者に利用されることもある。

インターネットの安全を守るために必要なのは、すべてを疑うことではない。相手が誰であっても、重要な操作をするときには、その正当性を自分で確認する習慣だ。

コンピューターのセキュリティを突破する必要はない。人間に自ら扉を開けてもらえばいい。

それが、ソーシャルエンジニアリングという攻撃の本質なのである。