ソーシャルエンジニアリング

Social Engineering

　ネットワークシステムへの不正侵入を達成するために、必要なIDやパスワードを、物理的手段によって獲得する行為を指す。代表的な例として、侵入した企業・組織の従業員になりすましてパスワードを聞き出したり、盗み聞きしたりする行為が挙げられる。

　ほかにも廃棄された紙ゴミから企業・組織に関する重要情報を読み取るなどの行為もあり、これもソーシャルエンジニアリングの一種である。電話に出た子どもに対して、両親に関する個人情報を聞き出すことも立派なソーシャルエンジニアリングであり、最近よく見られる事例である。

　企業・組織における対策例としては、偽造の難しい身分証を発行し携帯を義務付けることや、重要情報に関する取り扱いや管理に関する規定を策定、明文化し、責務の明確化を行うことが挙げられる。

　また、電話にてアクセス権に関する事項をやりとりするなど、もってのほかである。電話でパスワードを質問されたり、アクセス権に関する情報を聞かれた場合は、最低限でも本人性を確認すべくコールバックするように徹底するべきである。

　その場合にも、本人の自宅の電話番号や携帯端末からでない場合、例えば公衆電話からの問い合わせには応じないことなどが肝要といえる。電話での会話例を挙げてみる。ここではソーシャルエンジニアリングを試みる人間を不審者と表記する。

管理者：はい。情報システム室、○○です。
不審者：総務部の××です。中途採用で本日より出社なのですが、パソコンの使い方が分からなくて……、○○さんにお聞きするようにといわれていたのですが。
管理者：そうですか。社内のアカウントは知らされていますか？
不審者：いえ、いま来たばかりで何も分からないのですが。　
管理者：分かりました。取りあえず「IDは“SINJIN”、パスワードは“TESTTEST”」で入ってください。

　これでテンポラリのIDとパスワードを取得されてしまった。管理者は偽の新人社員についてアカウントを作成しようとし、人事に問い合わせるだろうが、ソーシャルエンジニアリングに遭ったと発覚するまでは少なくとも5分はかかるだろう。それだけあれば、社内のかなりのリソースにアクセスする余裕がある。　

　ほかにも重要書類を廃棄する際は、シュレッダーにかけるというのが常識になりつつあるようだが、セキュリティを診断する立場からいえば、それはあくまでも機密情報を漏らさぬための第一歩にすぎない。　

　そもそもシュレッダーを過信することに問題があり、最低でも重要文書の廃棄に関してはシュレッダーにかけたうえで、複数の袋に詰め、日時を分けて廃棄するなどの配慮が必要である。

　同じ袋に詰めて、同一の日にまとめて収集に出したらどうなるか？ 一般に普及しているラーメン状に処理されるシュレッダーの場合、書類を復元することはそう難しいことではない。その企業体の情報がどうしても欲しいと思う者がいれば、ゴミを持ち帰って書類を復元してしまう。

　推奨する書類廃棄の方法は、縦横にカットしてミリ単位で粉砕する方式のシュレッダーで、これを利用してかつゴミ袋を分けてしまえば、まずソーシャルエンジニアリングに遭う可能性は少ないといえる。

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）