ソーシャルエンジニアリング
luagate/social-engineering-introソーシャルエンジニアリング入門24 枚セキュリティ
上から下へ、全 24 枚そのまま並べています。
発表モードで開くソーシャルエンジニアリング
目次
今日のゴール
この時間で身につけてほしいことです。
- 技術以外の弱点を突く攻撃があると分かる
- 代表的なだましの手口を知る
- 人の心理につけ込む仕組みを理解する
- 標的型攻撃とのつながりが分かる
- だまされないための対策を身につける
一番弱いのは「人」
どんなに堅い鍵をかけても、住人が自分でドアを開けてしまえば意味がありません。守りの一番の隙は「人」です。
- システムを破るより人をだます方が早い
- 攻撃者は技術より人の油断を狙う
- 正しい人になりすませば鍵は要らない
- 親切心や焦りにつけ込まれる
- 最新の防御も人の一言で破られる
ソーシャルエンジニアリング とは
プログラムの穴ではなく、人の心の隙を突いて情報を盗む手口です。
なぜ人はだまされるのか
だまされるのは特別な人ではありません。誰もが持つ自然な心の動きが利用されます。
第2部 だましの手口
なりすまし電話
情報システム担当や取引先を装って電話をかけ、情報を聞き出す手口です。
のぞき見とごみ漁り
電話以外にも、身近なところに危険があります。日常のすぐ隣に手口がひそんでいます。
なりすましメール
実在の企業や知人を装ったメールで、偽サイトへ誘導したり添付を開かせたりします。
偽メールに気づくポイント
なりすましメールには、よく見ると不自然な点があります。立ち止まって確かめる目を持ちましょう。
- 差出人のアドレスが微妙に違う
- 不自然な日本語や急かす言い回し
- 心当たりのない請求や当選の知らせ
- リンク先のURLが本物と異なる
- 少しでも怪しければ開かず確認する
第3部 心理と標的型攻撃
緊急と権威を装う心理
だましの多くは、冷静な判断をさせない工夫が仕込まれています。
冷静なときと焦ったとき
標的型攻撃とのつながり
以前学んだ標的型攻撃も、入口の多くはソーシャルエンジニアリングです。だましで人を動かし、侵入の足がかりにします。
- 標的型攻撃は特定の組織を狙い撃つ
- 入口はだましのメールであることが多い
- 業務に関係ありそうな件名で油断させる
- 担当者が開いた一通から侵入が始まる
- 人をだます手口が攻撃の起点になる
第4部 対策と教育
だまされないための3原則
特別な道具は要りません。日々の心がけが一番の対策になります。
手口と対策の対応
それぞれの手口には、効きやすい対策があります。手口ごとに備えを整理します。
組織での教育
一人が気をつけても、組織に隙があれば狙われます。みんなで守る流れを作ります。
確認の一手間と被害の防止（イメージ）
立ち止まって確認するだけで、多くのだましは防げます。あくまでイメージです。
振り返りクイズ
振り返りクイズ 解答
質疑・次回予告
今日のまとめと、次に学ぶテーマです。質問があればここで受け付けます。
"
どんなに堅い防御も、人の一言で破られる。攻撃者は技術の穴より心の隙を狙う。だからこそ、急かされても一呼吸おき、疑い、確認する。その一手間が、何よりの守りになる。