ソーシャルエンジニアリングとは（全体像）
ソーシャルエンジニアリングとは、プログラムを使った技術的な攻撃ではなく、人の心理のすき（思い込みや油断、親切心など）をついて、パスワードや機密情報を聞き出す・盗み見る攻撃のことだ。
代表的な手口を見てみよう。
- なりすまし電話 … システム担当者などを装って電話し、パスワードを聞き出す
- ショルダーハッキング … 肩越しに、入力中のパスワードなどをのぞき見る
- ゴミ箱あさり（スカベンジング） … 捨てられた書類から情報を拾う
ここで一番のポイント。ソーシャルエンジニアリングは、技術ではなく「人」をねらう。「セキュリティの攻撃は、すべてプログラムによる技術的なものだ」と思い込むと誤りで、人の心理をつく手口も、立派な攻撃だ。
詳しく：対策は人的対策が中心
ここが心臓部。ポイントを表で押さえよう。
ソーシャルエンジニアリングのポイント
| 項目 | やさしい意味 |
|---|---|
| 正体 | 人間の心理の弱点をついて情報を盗む |
| なりすまし電話 | 担当者を装い、電話で聞き出す |
| ショルダーハッキング | 肩越しに、入力をのぞき見る |
| 対策 | 教育・意識向上などの「人的対策」が中心 |
ソーシャルエンジニアリングは、人をねらう攻撃だ。だから、対策も、技術だけでは足りず、「人的対策」が中心になる。具体的には、社員教育・意識向上・セキュリティのルール（ポリシー）を守ること、などだ。
ここで一番のポイント。対策は、教育や意識向上といった人的対策が中心だ。「最新の機器を入れれば、それだけで完全に防げる」と思い込むと誤りで、人がだまされない意識をもつことが欠かせない。
わかりやすく言い換えると
身近なたとえで整理しよう。
ソーシャルエンジニアリングは、「鍵をこじ開けるのではなく、住人をだまして玄関を開けさせる空き巣」のイメージ。要するに、機械ではなく人をだます。
代表的な手口は、「電話でなりすます・肩越しにのぞく・ゴミから拾う」こと。つまり、身近なところにすきがある。
人的対策は、「だまされない意識を、教育やルールで高めること」こと。つまり、人の守りを強くする。
試験のツボ
🔴 一番出る：攻撃の正体
①技術ではなく、人間の心理の弱点をつく攻撃
②人をだまして、情報を聞き出す・盗み見る
🔴 次に出る：代表的な手口
①なりすまし電話・ショルダーハッキング（肩越しののぞき見）
②ゴミ箱あさり（捨てた書類から情報を拾う）
🟡 押さえると安定：対策
①技術だけでは足りず、人的対策が中心
②教育・意識向上・ルール（ポリシー）の遵守
よくある間違い
①「セキュリティの攻撃は、すべて技術的なものだ」→ ✗ ソーシャルエンジニアリングは、人の心理をついて情報を盗む。
②「最新の機器を入れれば、それだけで完全に防げる」→ ✗ 人がだまされない意識をもつ、人的対策が欠かせない。
③「肩越しののぞき見は、攻撃には入らない」→ ✗ ショルダーハッキングは、立派なソーシャルエンジニアリングの手口。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（攻撃の正体）
ソーシャルエンジニアリングに関する次の記述のうち、最も適切なものはどれか。
- 社員の出退勤を記録して、毎月の給与を計算するためのしくみだ
- 取引先へ毎月の請求書を郵送する、決まった事務作業のことを指す
- 人間の心理の弱点をついて、情報を盗み出そうとする攻撃である
- 完成したシステムを宣伝して、より多く売るための広告活動である
解答は 3 である。
ソーシャルエンジニアリングは、技術ではなく、人の心理の弱点をついて情報を盗む攻撃じゃ。人をだます攻撃と心得るがよい。
選択肢1は給与計算、選択肢2は請求書の事務、選択肢4は広告ゆえ、どれも違うのじゃ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 給与計算のしくみではない |
| 2 | ✗ | 請求書の事務の話 |
| 3 | ✓ | 人の心理をつく攻撃で正しい |
| 4 | ✗ | 広告活動ではない |
オリジナル問題2（代表的な手口）
ソーシャルエンジニアリングの手口に関する次の記述のうち、最も適切なものはどれか。
- 肩越しに入力をのぞき見る手口の、ショルダーハッキングである
- 社員の給与を計算するときだけ、使われるとされているものだ
- 取引先への請求書の枚数しだいで、決まるとされているのである
- システムの動きが、少しだけ速くなるとされているものである
解答は 1 である。
肩越しに入力をのぞき見る手口を、ショルダーハッキングと呼ぶのじゃ。なりすまし電話やゴミ箱あさりも手口と心得るがよい。
選択肢2の給与、選択肢3の請求書、選択肢4の「速くなる」は、いずれも違うのじゃ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 肩越しののぞき見で正しい |
| 2 | ✗ | 給与計算のときだけではない |
| 3 | ✗ | 請求書の枚数で決まるのではない |
| 4 | ✗ | 速くなるものではない |
オリジナル問題3（対策）
ソーシャルエンジニアリングの対策に関する次の記述のうち、最も適切なものはどれか。
- 社員の給与を計算するときだけ、必要だとされているものである
- 教育や意識向上といった、人的対策が中心になるものである
- 取引先への請求書を郵送するときだけ、必要だとされているのだ
- 最新の機器を入れれば、それだけで完全に防げるものである
解答は 2 である。
対策は、教育や意識向上などの人的対策が中心じゃ。人がだまされぬ意識をもつことが欠かせぬと心得るがよい。
選択肢1の給与、選択肢3の請求書、選択肢4の「機器だけで完全防御」は、いずれも違うのじゃ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 給与計算のときだけではない |
| 2 | ✓ | 人的対策が中心で正しい |
| 3 | ✗ | 請求書のときだけではない |
| 4 | ✗ | 機器だけでは防げない |
まとめ
押さえどころ
- 🔴 正体 ＝ 技術ではなく、人間の心理の弱点をついて情報を盗む攻撃。人をだます。
- 🔴 代表的な手口 ＝ なりすまし電話・ショルダーハッキング（肩越しののぞき見）・ゴミ箱あさりなど。
- 🟡 対策 ＝ 技術だけでは足りず、教育・意識向上・ルールの遵守などの人的対策が中心。
次に学ぶ
- フィッシング ── 偽メールで情報をだまし取る攻撃。ソーシャルエンジニアリングの一種でもある。
- 情報セキュリティ10大脅威2025 ── 重大な脅威の一覧。人をねらう手口も、毎年あがってくる。
執筆: SikakuQuest編集部