2026年11月4日、衝撃的なニュースが世界を駆け抜けました。仮想通貨取引所バイナンスから、約1兆円（63憶ドル）が盗まれたのです。米連邦捜査局（FBI）をはじめとする主要捜査当局は、北朝鮮のハッカー集団によるものだと非難しています。
その手法は、ソーシャルエンジニアリングとマルウエアでした。具体的には、攻撃者がリンクトイン経由の偽の採用面接でエンジニアにアプローチしました。これが、ソーシャルエンジニアリングです。また採用課題として、攻撃者は開発用ファイルのダウンロードを課しました。このファイルには、悪意あるプログラムが仕込まれていました。これが、マルウェアです。
ソーシャルエンジニアリング（Social Engineering）は、人の感情の隙間や行動ミスを利用し、機密情報や金銭を奪う攻撃手法です。その手法は、なりすましや捨てられた書類から情報を集めるスキャベンジング、背後からの盗み見のショルダーハッキングなど多岐に渡ります。バイナンス以外にも、多数の事例が発生しています。
本記事では、ソーシャルエンジニアリングのポイントについて解説します。その攻撃手法だけでなく、注意ポイントもご紹介しますので、ぜひ参考にして下さい。
この記事のポイント
① ソーシャルエンジニアリングを理解できる
② ソーシャルエンジニアリングを手口を把握できる
③ ソーシャルエンジニアリングへの対処法を学べる
2025年版の小規模企業白書では、「自社ホームページの作成・更新」がテーマとして取り上げられています。課題は、「費用」や「人材」、「進め方の分からなさ」です。その問題を解決できるのが、自社WEB運用代行サービスです。株式会社DAWDYでは、リーズナブルな価格で御社のホームページのパフォーマンスを最大化致します。無料相談を受け付けていますので、お気軽にこちらからお問い合わせ下さい。
1. ソーシャルエンジニアリングとは
ソーシャルエンジニアリング（Social Engineering）とは、人間の心理的な隙や行動の習慣、信頼関係などを悪用して、機密情報や認証情報を不正に取得したり、本人に不正な操作をさせたりする攻撃手法です。
例えば一般的なサイバー攻撃では、システムやネットワークの脆弱性を狙います。一方ソーシャルエンジニアリングでは、システムを操作する人間を攻撃対象にします。具体的な例を、以下に記します。
ソーシャルエンジニアリングの具体例
・ 宅配業者や取引先を装ったメールを送り偽サイトに誘導する
・ 報システム部門を装って社員のパスワードを聞き出す
・ ITサポート担当者を装って電話しリモートアクセスを許可させる
・ 社長や上司になりすまして、社員に不正な送金を指示する
・ 会社の従業員になりすまして、オフィスに侵入する
ここでは重要なのは、攻撃者が必ずしも高度なプログラミング技術を必要としないという点です。ソーシャルエンジニアリングは、人間の心理を巧みに利用すれば、正規のシステムやセキュリティ対策を突破できる可能性があります。
2. 企業が狙われる理由
一案的に、企業は攻撃者にとって価値の高い情報や資産を多く保有しています。それらが、ソーシャルエンジニアリングのターゲットになります。ここでは、その例を記します。
| 攻撃対象 | 攻撃者のターゲット |
| 一般社員 | IDやパスワード、社内情報 |
| 営業部門 | 顧客情報、取引先情報、契約情報 |
| 経理・財務部門 | 銀行口座情報、不正送金 |
| 人事部門 | 社員情報、給与情報、マイナンバー情報 |
| 受付・総務部門 | オフィスへの侵入 |
| 情報システム部門 | システム管理者権限、ネットワークへのアクセス |
| 管理職・役員 | 経営情報、重要な意思決定、M&A、株価対策 |
| 責任分担 | 事故時の責任、損害賠償、監査や証跡提供の条件 |
ソーシャルエンジニアリングで注意すべきは、一般社員のアカウントが侵害された場合でも、そこを起点に企業全体に被害が拡大するリスクがあることです。
3. ソーシャルエンジニアリングの攻撃手法と対策
3-1. フィッシング
フィッシングは、実在の企業や公的機関を装った偽のメールやWebサイトで、IDやパスワード、クレジットカード情報などを盗み取る攻撃です。宛先を絞らず、大量に送信するタイプが一般的です。また特定の個人や組織を狙い、業務内容や取引先名を盛り込んで巧妙に作り込む「スピアフィッシング」も増えています。
典型的な手口は、「アカウントが停止されます」「不正ログインを検知しました」と不安や緊急性を煽り、メール内のリンクから偽ログイン画面へ誘導するものです。URLが本物と酷似している場合も多く、見た目だけでは判別が困難です。対策としては、メール内のリンクを直接開かず公式サイトのブックマークや公式アプリからアクセスすること、送信元アドレスやドメインを確認すること、多要素認証を有効にすること、不審なメールは社内の窓口に報告することが重要です。
3-2. ビジネスメール詐欺
ビジネスメール詐欺(BEC:Business Email Compromise)は、取引先や経営幹部になりすまし、偽の請求書や送金指示で企業から金銭をだまし取る攻撃です。攻撃者は事前に実際のメールの盗み見や公開情報の収集を行い、取引の流れや担当者名、文面の癖まで把握したうえで、自然なやり取りに割り込みます。
「振込先口座が変更になりました」「至急、役員の指示で送金してほしい」といった内容が典型例です。マルウェアを使わず、文面だけで成立するため、ウイルス対策ソフトでは検知しにくく、被害額が高額になりやすい点が特徴です。対策としては、振込先変更や急な送金依頼を受けた際に、メール以外の手段(電話など、事前に把握している連絡先)で本人確認を行うこと、承認フローを複数人で行うこと、メールアカウントの多要素認証、送信ドメイン認証(SPF・DKIM・DMARC)の導入が有効です。
3-3. ボイスフィッシング
ボイスフィッシング(ビッシング)は、電話を使って相手をだまし、個人情報や認証情報、金銭を引き出す攻撃です。銀行やカード会社、警察、通信事業者、社内のIT部門などを名乗り、「口座が不正利用されている」「システム障害の調査で確認が必要」と告げて不安をあおります。自動音声で「1を押してください」と誘導し、オペレーターにつなぐ手口や、電話をかけさせたうえで暗証番号やワンタイムパスワードを聞き出す手口もあります。
近年は電話番号を偽装して正規の番号に見せかけるケースや、AIによる音声合成で上司や家族の声を模倣する事例も報告されています。対策としては、電話口で暗証番号や認証コードを絶対に伝えないこと、一度電話を切り公式の番号にかけ直すこと、社内では本人確認の手順を決めておくことが重要です。
3-4. スミッシング
スミッシングは、SMS(ショートメッセージ)に偽のリンクを記載し、フィッシングサイトへ誘導したりマルウェアをインストールさせたりする攻撃です。「宅配便の不在通知」「金融機関の本人確認」「料金未払いのお知らせ」など、日常的な連絡を装うのが典型です。
SMSは短い文面で送られ、スマートフォンでは送信元やリンク先の確認がしにくいため、メールよりも警戒心が薄れやすい傾向があります。リンク先で入力した情報が盗まれるほか、不正なアプリのインストールを促され、端末内の情報や認証コードを抜き取られる被害もあります。対策としては、SMS内のリンクを安易にタップしないこと、公式アプリや公式サイトから確認すること、提供元不明のアプリを入れないこと、キャリアの迷惑SMSフィルタ機能や着信拒否設定を活用することが挙げられます。
3-5. テールゲーティング
テールゲーティング(共連れ)は、入退室管理のあるオフィスや施設に、正規の入館者の後ろについて物理的に侵入する攻撃です。社員証をかざして入るゲートで、荷物で両手がふさがっているふりをしたり、宅配業者や清掃員、取引先を装ったりして、親切心や気まずさにつけ込みます。
侵入後はPCの盗難、機密書類の持ち出し、ネットワーク機器への不正接続、USBメモリの設置などが行われるおそれがあります。サイバー攻撃の起点が物理的な侵入であることも多く、見落とされがちです。対策としては、1人ずつ認証して入場するルールの徹底、アンチパスバック機能付きの入退室システム、来訪者へのゲスト証の着用義務、見慣れない人に声をかける文化づくり、そして断ることが失礼にならない社内の共通認識を持つことが重要です。
3-6. USBドロップ攻撃
USBドロップ攻撃は、マルウェアを仕込んだUSBメモリなどを、駐車場やロビー、会議室、郵送などで相手の手に渡るように置き、拾った人が自分のPCに接続するのを待つ攻撃です。「給与一覧」「社外秘」といったラベルを貼って好奇心を刺激したり、落とし物を装ったりします。
接続すると、自動的にマルウェアが実行されたり、キーボードを装って不正なコマンドを入力するデバイス(BadUSB)として動作したりして、情報窃取やランサムウェア感染、社内ネットワークへの侵入口を作られるおそれがあります。対策としては、出所不明のUSBメディアを絶対に接続しないこと、拾った場合は情報システム部門に届けること、USBポートの利用制限やデバイス制御、自動実行の無効化、定期的なセキュリティ教育の実施が有効です。
4. 実際にあったソーシャルエンジニアリング被害事例
4-1. セキュリティ大手企業RSA／2011年
2011年3月、セキュリティ大手企業のRSAで、従業員の一部に「2011 Recruitment plan」という件名のメールが届きました。添付のExcelファイルには、Adobe Flashの未修正の脆弱性を突くコードが仕込まれていました。そしてその添付ファイルを開いた従業員のPCが、マルウェアに感染しました。
攻撃者はそこから社内ネットワークを横へと広げ、二要素認証製品「SecurID」に関する情報を盗み出したとされています。この情報は、のちに防衛大手ロッキード・マーティンへの攻撃の試みに関連したと見られています。RSAは顧客向けにトークンの交換対応に追われ、親会社EMCは数千万ドル規模の費用を計上しました。この事例は、セキュリティの専門企業でも、採用計画という自然な題材の標的型メールに引っかかった例として知られています。
4-2. Google・Facebookに対する偽請求書詐欺／2013〜2015年
リトアニア人のエヴァルダス・ラミサウスカスは、台湾の大手ハードウェアメーカーであるQuanta Computerになりすまし、同社と同じ名前の会社を設立して銀行口座を開設しました。そしてQuantaと実際に取引のあったGoogleとFacebookの担当者に、偽の請求書や契約書、手紙をメールで送り、代金を自分の口座へ振り込ませました。
被害総額は1億ドルを超えるとされ、のちにその大半が回収されています。2017年に米国へ移送され、2019年に禁錮5年の判決を受けました。IT大手でも、請求書の真偽を取引先に直接確認する仕組みが不十分だったことが背景にあります。このケースは、ビジネスメール詐欺の代表例として知られています。
4-3. 日本年金機構の個人情報流出／2015年
2015年5月、日本年金機構の職員に業務に関連した件名の標的型メールが送られました。職員が添付ファイルを開いた結果、PCがウイルスに感染しました。しかも感染は他の端末にも広がり、約125万件もの個人情報(基礎年金番号、氏名、生年月日、住所の一部など)が外部に流出しました。
当初はメールの添付ファイルを開かせる単純な手口でしたが、受信者が不審に思いにくい、実務に沿った内容に作り込まれていました。調査では、個人情報を含むファイルの保存場所や管理の甘さなど、組織の運用面の問題も指摘されました。この事件は、日本国内の組織に標的型攻撃への危機感を強く与え、公的機関や企業のセキュリティ対策を見直す大きな契機になりました。
4-4. Xアカウント乗っ取り事件／2020年
2020年7月、バラク・オバマ氏やジョー・バイデン氏、イーロン・マスク氏など著名人のXアカウントが一斉に乗っ取られ、「送金すればビットコインを倍にして返す」という投稿が行われました。攻撃者は電話を使い、Xの社内担当者を装って従業員をだまし、社内管理ツールの認証情報を入手しました。
この手口は、ボイスフィッシングに近い電話を使った標的型の手法です。そのツールを悪用して多数のアカウントを操作し、詐欺サイトへ誘導した結果、短時間で十数万ドル相当のビットコインが集まりました。実行役として、当時17歳の少年を含む3人が逮捕・起訴されました。このケースでは、社内ツールの権限管理が甘い状態だと、被害が一気に拡大することを示しています。
4-5. MGMリゾーツへのサイバー攻撃／2023年
2023年9月、米ラスベガスを拠点とするカジノ大手MGMリゾーツが、ランサムウェアを含むサイバー攻撃を受けました。攻撃者はScattered Spiderと呼ばれるグループとされ、LinkedInなどで従業員の情報を調べ、本人になりすまして社内のヘルプデスクに電話をかけ、パスワードやMFAのリセットを依頼したとされています。
この電話での本人確認の突破が侵入の起点となり、ホテルの予約やカードキー、スロットマシンなど多くのシステムが約10日間にわたって混乱しました。MGMは損失が1億ドル規模に上るとの見通しを示しました。同時期に攻撃を受けたシーザーズ・エンターテインメントは、身代金を支払ったと報じられました。このケースは、ヘルプデスクの本人確認手順がいかに重要かを示した事例です。
5. まとめ
ソーシャルエンジニアリングは、単なる迷惑メールや詐欺電話ではありません。企業の機密情報や顧客情報、資金、さらには事業活動そのものを脅かす重大なセキュリティリスクです。例えば上場企業の場合、株価下落のリスクがあります。
特に現代では、メールだけでなく、電話やSMS、チャット、SNS、オンライン会議など、あらゆるコミュニケーション手段が攻撃に利用されます。そして企業としては「社員が騙されないようにする教育」と「万が一騙されても被害を最小限に抑える仕組み」の両方を整備することが重要です。
セキュリティは情報システム部門だけの責任ではなく、社員全員で守るものです。本ブログでは、AIの暴走についても解説しています。ご興味ある方は、『AIの暴走とは？その仕組みと企業の対処法について解説します』を参照下さい。