サイバー攻撃者はなぜソーシャルエンジニアリングを使うのか？

サイバー攻撃者は、ソーシャル・エンジニアリングを使用する。ソーシャル・エンジニアリングは、コンピュータ・システムやそのソフトウェアではなく、人間の要素をターゲットにした攻撃の一種である。攻撃者は人を騙して、被害者のコンピュータにアクセスするための行動を実行させようとする。この種の攻撃で最も一般的なものに、中間者攻撃がある。マン・イン・ザ・ミドル攻撃は、攻撃者が他人になりすまして、双方向音声応答、電子メール、インスタント・メッセージング、ウェブ会議などの正規化プロトコルを介して、被害者同士が直接会話しているかのように騙すことで発生する。人為的な操作によるハッキングは、外部から直接ハッキングするよりも実行しやすい。この記事では、SE攻撃が増加している理由と、サイバー攻撃者がこのような手口をよく使う理由について説明します。

主なポイント

ソーシャル・エンジニアリング攻撃は、人間の要素を操作するもので、サイバー犯罪者が好む手法である。
攻撃は信頼関係や人間関係を悪用することが多く、攻撃者に必要な技術的スキルは最小限である。
廃棄物に潜り込むことで、攻撃者はハッキング技術を用いずに機密情報を入手できる。
恐怖、貪欲さ、緊急性などの感情的な誘因は、ソーシャル・エンジニアリング攻撃が成功する可能性を著しく高める。
好感度や外向性といった特定の性格特性は、ソーシャル・エンジニアリングの手口を受けやすくする。

ソーシャル・エンジニアリング攻撃ソーシャルエンジニアリング攻撃は、今日、ハッカーが使用する最も一般的で効果的な手法の一つです。これらの攻撃は、従業員の信頼や親近感、従業員と顧客との物理的な近さなど、人と人との関係を悪用することが多いのです。

a.従来のセキュリティの弱点は人間の要素

攻撃は人間の相互作用に依存するほど効果的である傾向がある。攻撃者に必要なのは、ターゲットの習慣や嗜好に関するちょっとした情報と、被害者への見せ方の工夫だけだ。その結果、攻撃者は、組織のネットワークに侵入したり、企業のシステムに侵入したりするような、より複雑なテクニックに頼ることなく、欲しいものを手に入れることができる。

15日間のトライアルデモを予約する

b.高度なハッキングテクニックは必要ない

ソーシャルエンジニアリング攻撃は、人々の信頼を利用してシステムやネットワークへのアクセス権を取得する。これらの攻撃が効果的なのは、高度なハッキング技術を用いてネットワークに強引に侵入するよりも、攻撃者が容易にアクセス権を得られるためである。攻撃者がこれを行う際、フィッシング、スピアフィッシング、プレテクスティングといった心理的操作技法を典型的に用いる。 ➜ フィッシングとは、攻撃者が一見正当に見えるメールを送信し、ユーザーを騙してパスワードやクレジットカード情報などの個人情報を提供させる手口です。 ➜ スピアフィッシングは、フィッシングと同様の手法を用いるものの、他人を装うなどより高度な技術で情報を引き出す詐欺です。 ➜プレテクスティング詐欺とは、攻撃者が被害者の信頼を得るために偽りの口実を作り、その後盗みを試みる手口を指します。攻撃者がシステムやネットワークへのアクセス権を獲得すると、セキュリティシステムや管理者に検知されることなく、内部で自由に動作できます。具体的にはプログラムのインストール、ファイルの改変、さらには全データの削除まで行えるのです。もしネットワーク内の状況を把握していれば、管理者はこうした行為を阻止できたはずなのに！

c.ダンプカー・ダイビングはブルート・フォースでネットワークに侵入するよりも簡単だ

ダンプスター・ダイビングとは、ソーシャル・エンジニアリング攻撃を行うために、廃棄物から情報を取り出す行為である。この手法では、ゴミ箱の中からアクセスコードや付箋に書かれたパスワードなどの宝物を探し出す。ダンプスター・ダイビングは、ハッカーが実際に侵入することなくネットワークにアクセスできるため、このような行為を簡単に実行できる。ダンプスター・ダイバーが発掘する情報は、電話リストやカレンダーのようなありふれたものから、組織図のような一見何の変哲もないデータまで多岐にわたる。しかし、この一見何の変哲もない情報は、攻撃者がソーシャル・エンジニアリングのテクニックを使ってネットワークにアクセスする際に役立つ可能性がある。さらに、コンピュータが廃棄された場合、それはサイバー攻撃者にとって宝の山になる可能性がある。消去されたり、不適切にフォーマットされたドライブを含む記憶媒体から情報を復元することは可能である。保存されているパスワードや信頼できる証明書は、コンピュータに保存されていることが多く、攻撃を受けやすい。廃棄された機器には、トラステッド・プラットフォーム・モジュール（TPM）上に機密データが含まれている可能性がある。このデータは、暗号鍵などの機密情報を安全に保存できるため、組織にとって重要です。ソーシャル・エンジニアは、組織から信頼されているハードウェア ID を利用して、ユーザーを悪用する可能性があります。

d.人々の恐怖心、貪欲さ、切迫感を利用する

ソーシャル・エンジニアリング攻撃は、人間的要素に依存しているため、実行が容易である。サイバー攻撃者は、魅力、説得、威嚇などを使って相手の認識を操作したり、相手の感情を利用したりして、企業に関する重要な情報を得ることができる。例えば、サイバー攻撃者は会社の不満を持つ従業員と話をして隠された情報を入手し、それを使ってネットワークに侵入するかもしれない。不満を抱いている従業員は、現在の雇用主から不当な扱いを受けている、あるいは不当な扱いを受けていると感じている場合、攻撃者に会社に関する情報を提供する可能性がある。また、不満のある従業員は、次の仕事がなく、近いうちに職を失うことになる場合にも、会社に関する情報を提供する可能性がある。より高度なハッキング手法では、マルウェア、キーロガー、トロイの木馬など、より高度なテクニックを使ってネットワークに侵入する。このような高度なテクニックは、ネットワークに侵入するために使用できる隠された情報を得るために、不満を持つ従業員と話をするだけよりもはるかに多くの時間と労力を必要とする。

影響力の6大原則

ソーシャル・エンジニアリング詐欺は、人間の心理にある6つの特定の脆弱性を悪用します。これらの脆弱性は、心理学者ロバート・チャルディーニが著書「Influence：説得の心理学」の中で、心理学者ロバート・チャルディーニによって特定されたものである： ➜ 互恵性- 互恵性とは、好意を現物で返そうとする欲求である。私たちは、自分を助けてくれた人に対して恩義を感じる傾向がある。そのため、パスワードや財務記録へのアクセスなど、誰かに何かを要求されたとき、以前に助けてもらったことのある人であれば、それに応じる可能性が高くなる。 ➜ コミットメントと一貫性- 私たちは物事を一度だけでなく長期的に行う傾向があります。私たちは、ある要求の一部分、あるいは複数にすでに同意している場合、その要求に同意する可能性が高くなります。もし誰かが以前にもあなたの財務記録へのアクセスを求めたことがあるのなら、再度求めることは結局のところそれほど大きな問題ではないのかもしれません！ ➜ 社会的証明- これは、私たちが周囲の人の誘導に従う傾向があるという事実（「バンドワゴン効果」とも呼ばれる）を利用した騙しのテクニックである。例えば、従業員は、他の従業員が要求に従ったという偽の証拠を提示する脅威行為者に動かされる可能性がある。 ➜ 好き- そのため、ハッカーはあなたのメールアドレスに、上司や友人、あるいはあなたが興味を持っている分野の専門家からのメッセージであるかのようなメッセージを送ってくるかもしれません。メッセージには、「やあ！君がこのプロジェクトに取り組んでいることは知っている。近いうちに一緒にできないかな？通常、このメッセージはあなたの協力を求め、それに同意することで、あなたは機密情報を提供することになる。 ➜ 権威- 人は一般に、権威ある人物を「正しい」存在と見なし、従わせる。このように、ソーシャル・エンジニアリングの手口は、権威のある人物を信頼する私たちの傾向を利用し、私たちから欲しいものを得ようとします。 ➜ 欠乏- 希少性は人間の本能であり、脳に組み込まれている。それは、"今これが必要だ "とか、"これを持っているべきだ "という感覚である。だから、ソーシャル・エンジニアに詐欺にあうと、お金や情報を一刻も早く手放さなければという切迫感を感じるのだ。

サイバーセキュリティ企業Forcepoint X-Labsの人間行動学主任研究員であるマーガレット・カニンガム博士によると、特定の性格タイプ、特に好感度や外向性が高い人は、ソーシャル・エンジニアリングに最も脆弱であるという。好意的な人は、信頼しやすく、友好的で、何の疑問も持たずに指示に従おうとする傾向がある。彼らは、本物に見えるEメールからリンクをクリックしたり、添付ファイルを開いたりする可能性が高いため、フィッシング攻撃の格好の候補となる。また、外向的な人は、他人と一緒にいることを好み、他人を信頼する傾向が強いため、ソーシャル・エンジニアリングによる攻撃を受けやすい。内向的な人ほど他人の動機を疑う傾向があるため、ソーシャル・エンジニアに騙されたり、操られたりする可能性があります。

ソーシャル・エンジニアリング攻撃に強い人は、良心的で、内向的で、自己効力感が高い傾向がある。良心的な人は、自分のニーズや欲求に集中することで、ソーシャル・エンジニアリング詐欺に抵抗できる可能性が高い。また、他人の要求に合わせることも少ない。内向的な人は、自分のために時間を使い、孤独を楽しむため、外的な操作に影響されにくい傾向がある。自己効力感が重要なのは、自分を信じることができるため、他人や外部からの圧力に抵抗できるという自信が持てるからである。

ソーシャルエンジニアリングとは、従業員や顧客を操作して、データの窃盗や破壊に利用可能な機密情報を漏らすように仕向ける行為です。過去には、銀行や雇用主など、正当な情報源から送られたように見せかけたメールを送信することで、この情報を入手していました。現在では、電子メールアドレスを詐称することははるかに容易になっています。 PowerDMARCは、SPF、DKIM、および以下のような電子メール認証プロトコルを展開することにより、この種の攻撃から保護するのに役立ちます。 DMARC p=拒否ポリシーを使用することで、直接ドメインのなりすましや電子メールによるフィッシング攻撃のリスクを最小限に抑えることができます。ソーシャル・エンジニアリング攻撃からあなた自身、あなたの会社、そしてあなたの顧客を守ることにご興味がある方は、ぜひご登録ください。 DMARC無料トライアル今日から

について
最新記事

Ahona Rudra

ドメインとメールセキュリティのエキスパートPowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

なぜサイバー攻撃者はソーシャルエンジニアリングを多用するのか？