ソーシャルエンジニアリングとは？手口や対策をわかりやすく解説
ソーシャルエンジニアリングとは？手口や対策をわかりやすく解説
公開日
最終更新日
ソーシャルエンジニアリングとは、人の信頼、焦り、恐怖などを利用し、秘密情報の開示や送金、危険な操作へ誘導する手法です。システムを直接破るとは限らず、対面や電話も含むサイバー攻撃の入口になります。
生成AIで自然な文面を作れる現在は、上司や取引先を装うメール、SMS、偽サポート画面を見た目だけで判別するのは困難です。URLや発信者番号の確認だけに頼らず、依頼元へ別経路で連絡する仕組みが被害を防ぎます。
本記事では、怪しい連絡への対応を知りたい個人と、社内のセキュリティ体制を整える情シス担当者に向けて、代表的な手法、攻撃者が悪用する心理、人的・組織的対策、技術的対策、被害時の初動を整理します。
ソーシャルエンジニアリングとは
ソーシャルエンジニアリングとは、技術上の脆弱性ではなく、人の心理や行動の隙を突いて情報・金銭・アクセス権を得る攻撃です。
本記事のポイント
メールだけでなく、SMS、電話、対面での侵入も対象です。
攻撃者は緊急性、権威性、恐怖、好奇心を利用します。
教育と技術対策を組み合わせ、別経路で本人確認します。
IPAは、「情報セキュリティ白書2021」（2021年8月発行）において、2020年の情報漏えい攻撃手法の分類でソーシャルエンジニアリングが1位となり、2017〜2019年に1位だったWebアプリケーション攻撃と入れ替わったと紹介しています。2020年時点の集計であり、現在の順位は変化している可能性がありますが、人を狙う攻撃が技術対策だけでは防ぎにくいことを示す結果です。
ソーシャルエンジニアリングの主な手法
代表的な手法は、攻撃経路と悪用される心理をセットで把握すると見抜きやすくなります。
攻撃者は「至急」「社長指示」などの緊急性や権威性を示し、確認する時間を奪います。アカウント停止への恐怖、無料特典への好奇心、親切に応えたい返報性も利用します。
手法 | 主な経路 | 心理的な仕掛け | 安全な確認方法 |
|---|---|---|---|
フィッシング・標的型攻撃 | メール、偽サイト | 緊急性、恐怖 | 公式アプリやブックマークから開く |
なりすまし・ビジネスメール詐欺（BEC） | メール、SNS | 権威性、信頼 | 送金や口座変更を別経路で照合する |
スミッシング・ヴィッシング | SMS、電話 | 焦り、恐怖 | 公式窓口へ自分からかけ直す |
偽サポート・ClickFix | 警告画面、電話 | 不安、権威性 | 表示されたコマンドを実行しない |
テールゲーティング・ベイティング | 対面、USB | 親切心、好奇心 | 入館証を確認し、不明な媒体を接続しない |
SNSや企業サイトの公開情報は、役職や取引関係を調べる準備段階で悪用されます。社員名簿、出張予定、組織図の公開範囲も攻撃経路として点検します。
▲ ソーシャルエンジニアリングが人の心理的隙を突いて被害に至る構造
被害リスクと国内企業の訓練事例
認証情報を奪われると、サービス停止やランサムウェア被害へ短時間で進む場合があります。
IT Leadersは、米Secureworksの分析事例として、初期侵入からランサムウェア実行までの期間に関する傾向を紹介しています。具体的な割合・集計条件はSecureworksの原典（State of the Threat Report）で確認でき、媒体によって数値の解釈が異なる場合があります。
IPAは2025年2月に「2024年度 中小企業における情報セキュリティ対策に関する実態調査」を公表しており、不正アクセス被害を受けた企業を対象とした集計において、認証情報の詐取やWebサイト・業務サーバーへの影響に関する傾向を報告しています。具体的な数値・調査条件はIPA公式ページで確認できます。
企業・業種・規模 | 導入時期 | 課題→施策→成果 |
|---|---|---|
ミサワホーム・住宅・約1万人 | LRM掲載事例 | 疑似攻撃メールへの反応→継続訓練→LRMが公開する導入事例において、開封率の変化が段階ごとに紹介されています。具体的な数値・到達値は同ページで確認できます。訓練回数と開封率の関係は、同ページの推移データが参考になります。 |
数値・詳細はLRMが公開するミサワホームの導入事例ページによります。同ページの内容は更新される場合があるため、参照時に最新版を確認します。
組織と個人のソーシャルエンジニアリング対策
ソーシャルエンジニアリング対策は、訓練・報告体制と認証・メール・端末の防御を同時に整えます。
IPAは「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年2月公表）において、中小企業のセキュリティ体制の整備状況に関する傾向を報告しています。具体的な割合・調査対象の定義は同プレスリリースで確認できます。専任部署がなくても、責任者と報告先は明文化できます。
区分 | 社内対策チェックリスト |
|---|---|
人的対策 | 標的型攻撃メール訓練と、受信後の報告演習を実施する |
組織的対策 | 送金・口座変更は二者承認と別経路の折り返し確認を必須にする |
技術的対策 | パスキーなどフィッシング耐性のある認証、送信ドメイン認証、メール防御、端末保護、ログ監視を組み合わせる |
個人の対策 | リンクを開かず公式アプリから接続し、パスワードや認証コードを渡さない |
50名未満は兼務責任者と共通の報告窓口、50〜300名は四半期ごとの訓練と部門別集計、300名超は専任の対応チームとログの集中管理を、一つの出発点として参照できます。これらはモデルケースであり、組織のIT体制・業種・リスク許容度によって調整します。たとえば拠点分散型の組織では、部門ごとの報告経路を別途設ける場合があります。既存のセキュリティ対策に人的リスクの指標を追加すると、改善状況を追跡できます。
攻撃が疑われる場合の初動対応
情報入力やファイル実行の疑いがあれば、自己判断で様子を見ず、記録、隔離、報告、認証情報の保護の順で動きます。
時点 | 実施内容 |
|---|---|
発見から15分以内 | 返信や追加操作を止め、画面、URL、送信元、時刻を保存します。ファイルを実行した端末はネットワークから隔離します。 |
30分以内 | 社内窓口へ別端末から報告します。認証情報を入力した場合は安全な端末でパスワードを変更し、セッションを無効化します。 |
当日中 | メール・認証・端末ログを保全し、影響を受けたアカウント、取引先、送金の有無を特定します。 |
隔離した端末は、ログとメモリのフォレンジック情報を保全するため、再起動・初期化・自己修復ツールの実行を控えます。ログファイルは別媒体へコピーし、端末本体は手を加えない状態で保管します。送金が実行された可能性がある場合は、当日中に取引金融機関の不正送金相談窓口へ電話し、取引の停止または差し戻し可否を確認します。社内で影響範囲を判断できれば封じ込めと関係者連絡へ進みます。判断できなければ、IPAが運営する企業・組織向けサイバーセキュリティ相談窓口（窓口の名称・受付条件は同ページで確認できます）へ状況を整理して相談します。
▲ 攻撃が疑われる場合に実行すべき初動対応の4段階手順
対策で起きやすい失敗パターン
訓練を罰則や一度限りの行事にすると、従業員が不審メールを隠し、組織の検知が遅れます。
クリックした従業員を叱責し、人事評価へ結び付ける運用は避けます。
年1回の座学だけで終えず、短い訓練と報告演習を繰り返します。
URLや発信者番号が正しそうという理由だけで信用せず、既知の連絡先へ折り返します。
多要素認証だけに依存せず、リアルタイム型フィッシングを想定してパスキーやログ監視を併用します。
訓練には工数と心理的負担が伴います。開封率だけを競わせず、報告率と報告までの時間を評価すると、実際の初動に結び付きます。
よくある質問
怪しい連絡を受けたときに迷いやすい判断を、行動単位で回答します。
Q：怪しいメールやSMSを受け取ったら、最初に何をしますか？
A：返信やリンクの操作を止め、画面と送信元を保存します。依頼内容は、メール内の連絡先を使わず、公式アプリや既知の電話番号から確認します。
Q：リンクをクリックしただけでも報告すべきですか？
A：URL、クリック時刻、端末名を社内窓口へ報告します。報告後、ブラウザの履歴・ダウンロードフォルダ・端末のEDRアラートを確認し、意図しないファイルの保存や通知許可が検出された場合は端末をネットワークから隔離します。情報入力もダウンロードも確認できなければ、組織のインシデント手順に従い監視を継続します。ファイルを実行した場合は直ちに隔離します。
Q：パスワードを入力してしまった場合の対処法は？
A：安全な端末から公式サイトを開き、該当パスワードと使い回しているパスワードを変更します。管理者はセッションの無効化、認証ログの確認、不審な転送設定の削除を行います。クレジットカード番号や口座情報を入力した場合は、カード会社または金融機関の不正利用相談窓口へ連絡し、番号の使用停止・再発行の可否を確認します。個人情報（氏名・住所・生年月日など）を入力した場合は、その後のなりすまし申込みやフィッシング再接触に備え、金融機関マイページやキャリアの契約情報に不審な変更が生じていないかを一週間程度確認します。
▲ 怪しい連絡や警告画面を受けた時の適切な行動分岐フロー
まとめ
ソーシャルエンジニアリングは、人の焦りや信頼を利用するため、メールフィルターだけでは防ぎ切れません。別経路での本人確認、送金の二者承認、継続訓練、フィッシング耐性のある認証、迅速な報告を組み合わせます。最初の一歩として、明日までに不審メールの報告先を一つに決め、全従業員へ共有します。次に、口座変更を装うメールを想定し、誰がどの電話番号へ折り返すかを実地で確認すると、初動の遅れを減らせます。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
