ソーシャルエンジニアリングとは
ソーシャルエンジニアリングとは、コンピューターやネットワークの技術的な欠陥（バグ）を突くのではなく、人間の心理的な隙や、物理的な盲点、日常生活の中の油断を突いて、パスワードや機密情報を盗み出す手法の総称です。例えば、警察官や会社の役員を装って電話をかけ、言葉巧みにパスワードを聞き出したり、机の上に放置された重要書類を盗み見たりする行為がこれに当たります。システムがいかに技術的に強固であっても、それを使う「人間」が騙されて情報を漏らしてしまえばセキュリティは崩壊するため、情報セキュリティにおいて非常に警戒すべき手口です。
具体例
オフィスの出入り口で、両手に荷物を抱えた不審者が社員の後ろについて歩き、社員がカードキーでドアを開けた隙に一緒に入り込む「共連れ（テールゲート）」や、パソコンのキーボードを入力する様子を背後から盗み見る「ショルダーハック」など。
ソーシャルエンジニアリングの代表的手法：
- ショルダーハック：パスワード入力等の肩越しからの盗み見
- トラッシング ：ゴミ箱から破棄された書類やメモを漁る
- なりすまし電話 ：取引先やサポートセンターのふりをしてパスワードを聞き出すもう少し詳しく
ソーシャルエンジニアリングは、人間の心理（親切心、恐怖心、信頼、権威への服従、怠惰など）をハッキングする手法と言えます。システムをどれほど高価なセキュリティツールで防御していても、運用する従業員や管理者が鍵を渡してしまえば意味がありません。以下に、ソーシャルエンジニアリングの代表的な手法を詳細に解説します。
・ショルダーハック（肩越し覗き見）： カフェや電車内、オフィスの執務スペースにおいて、ターゲットがPCやスマートフォンにパスワードを入力する瞬間や、機密資料を表示している画面を背後や斜め後ろから物理的に盗み見る行為です。スマートフォンの画面ロック解除パターンを盗み見ることもこれに該当します。
・トラッシング（ゴミ箱漁り / スカベンジング）： オフィスから出たゴミ箱を漁り、シュレッダーにかけずにそのまま破棄された重要書類、開発資料、パスワードが手書きされた付箋紙、あるいは廃棄された記録媒体（古いハードディスクやUSBメモリなど）を回収して情報を収集する手法です。
・なりすまし（プレテキスティング）： 外部のシステム管理者、警察官、組織の役員、あるいは信頼できる取引先になりすまして電話やメールを入れ、「システムトラブルが発生したため、確認のために一時的なパスワードを教えてほしい」「緊急で口座情報を更新してほしい」などと言葉巧みに嘘のシナリオ（口実）を組み立てて機密情報を聞き出します。
・共連れ（テールゲート / ピギーバック）： セキュリティカードを所持していない不審者が、正規の社員がゲートを開けた直後にすぐ背後からぴったりと張り付いて一緒に入室し、物理的な不法侵入を果たす行為です。両手にダンボールを抱えて持ってもらうようにお願いするなど、社員の親切心を悪用します。
試験でのポイント
試験において「ソーシャルエンジニアリング」は、技術的手段（SQLインジェクションや暗号解読など）を全く使わず、物理的・心理的・社会的な手段によって機密情報を入手しようとする攻撃を識別する問題が中心です。各攻撃手法に対して、組織としてどのような対策を講じるべきかがよく出題されます。
・ショルダーハック対策： 外出先では「覗き見防止フィルター」をPC画面に装着する、パスワード入力時は背後を気にする、画面ロック時間を短縮する。
・トラッシング対策： 重要情報が記載された資料は必ず「シュレッダー」で読めないレベルに細断して廃棄する、磁気記憶媒体は物理的に破壊してから廃棄する。
・なりすまし対策： 電話口でパスワードなどの機密情報を相手に絶対に教えないルールを徹底する、発信元の電話番号をコールバックで確認する。
・共連れ対策： セキュリティエリアへの入退室時は、フラッパーゲートなどを導入して一人ずつカードリーダーで認証させる、他の社員に釣られて入らせないようルールを徹底する（アンチパスバック機能の導入）。
「シュレッダー」「覗き見」「なりすまし電話」「共連れ」といったワードが出たら、それはソーシャルエンジニアリングに関連する問題であると判断できるよう整理しておきましょう。
関連する用語
ソーシャルエンジニアリングをシステムやプロセスの弱点という形で分類した「人的脅威」、実在する企業を騙り偽サイトへ誘導する詐欺メール手法「フィッシング」、なりすましを排除するための「多要素認証」などがあります。