ソーシャルエンジニアリングは、システムの穴ではなく人の心理の隙を突いて、パスワードや機密情報を盗む攻撃の総称です。メールで偽サイトに誘う、銀行を装って電話をかける、肩越しに画面をのぞく。使う道具はさまざまでも、狙いは一つ、人に「うっかり」渡させることです。2024年には、香港でディープフェイクのビデオ会議に偽装され、ある企業が約2,560万ドル（約40億円）を送金してしまいました。本記事では、手口の種類を経路ごとに整理し、なぜ人が引っかかるのか、AI で何が変わったのか、そして教育・技術・ルールの3層でどう防ぐかを扱います。
LOCKED は、フィッシング訓練で従業員のリテラシーを底上げする LOCKED ATP、SSO と多要素認証で認証を固める LOCKED MSO、アカウントの発行・停止・権限を管理する LOCKED DAS を組み合わせたサービス群です。だまされる確率を下げ、だまされても被害を止める、という二段構えで人の隙に備えます。
無料で製品資料をお送りしています。人を狙う攻撃への備えの見直しにお使いください。 製品資料をダウンロードする →
ソーシャルエンジニアリングとは、人の心理の隙を突く攻撃
ソフトウェアの脆弱性を突く攻撃は、パッチを当てれば塞げます。人を突く攻撃には、当てるパッチがありません。だからこそ厄介です。攻撃者は、標的の公開プロフィール、組織図、取引先、過去に漏れたデータをあらかじめ集め、相手が疑いにくい筋書きを組み立ててから接触します。「情報システム部の者ですが」「取引銀行の〇〇です」といった肩書きと、本物らしい文脈が、警戒心を下げる道具になります。
この攻撃の多くは、最終的にメールや電話を使います。そのため、組織としての備えは標的型攻撃メール訓練やフィッシングメール対策と地続きです。ただしソーシャルエンジニアリングはメールに限りません。電話、対面、そしてゴミ箱まで、人が情報に触れるあらゆる接点が入口になります。
フィッシング対策成熟度
フィッシング対策の成熟度を診断。技術対策、従業員教育、インシデント対応の3軸で自社の対策レベルを可視化します。
手口は経路で3つに分かれる：オンライン・電話／対面・物理
攻撃の経路で整理すると、有効な対策も見えてきます。オンライン、電話・対面、物理の3系統です。
オンライン：フィッシングとスミッシング
銀行やクラウドサービスを装った偽メールや偽サイトで、ID やパスワード、カード情報を入力させるのがフィッシングです。SMS を使えばスミッシング、と呼び名が変わります。本物そっくりのロゴと文面で、正規の連絡だと思い込ませます。最近は、生成 AI で日本語の不自然さが消え、見分けが難しくなっています。
電話・対面：ビッシング、なりすまし、プリテキスティング
電話で情報を聞き出す手口をビッシング（ボイスフィッシング）と呼びます。「カードが不正利用されています」と不安をあおって暗証番号を聞き出す、情報システム部を名乗ってパスワードを尋ねる、といった形です。あらかじめ用意した口実で相手をその気にさせる手口はプリテキスティングと呼ばれ、ビッシングの土台になります。対面では、取引業者や清掃員を装って建物に入り込むなりすましもあります。
物理：のぞき見、ゴミ漁り、共連れ
画面やキーボードを肩越しにのぞいてパスワードを盗むショルダーハッキング、捨てられた書類やメモから機密を拾うダンプスターダイビング（ゴミ漁り）、入館者の後ろにぴたりとついて認証なしで入る共連れ（テールゲーティング）。どれも道具はほとんど要らず、人の油断だけが頼りです。
なぜ人は引っかかるのか：攻撃者が押す心理のボタン
手口の違いの下には、共通した心理の突き方があります。攻撃者が繰り返し使うのは、権威、緊急、信頼、恐怖です。「社長からの指示だ」という権威、「今日中に振り込まないと契約が飛ぶ」という緊急、取引先を装う信頼、「不正利用されています」という恐怖。これらが重なると、人は確認の手順を飛ばします。香港の事例でも、最初に不審を感じた担当者が、本物そっくりの顔と声を前に疑いを引っ込めてしまいました。
逆に言えば、こうしたボタンを押されたと気づくことが、最初の防御になります。急かされたとき、秘密を求められたとき、いつもと違う経路で依頼が来たとき。その3つが重なったら、いったん立ち止まる。これを訓練で身体に覚えさせるのが、人の層の対策です。
AIで何が変わったか：ディープフェイクとビッシングの激化
生成 AI は、ソーシャルエンジニアリングの説得力を一段上げました。象徴的なのが、2024年初頭に発覚した建設大手 Arup の事例です。香港支社の財務担当者が、英国本社の最高財務責任者（CFO）を名乗る偽メッセージを受け取り、続くビデオ会議に出席しました。画面に映った幹部たちは全員、公開映像から作られたディープフェイクでした。本物は被害者ただ一人。担当者は指示どおり、約2,560万ドルを15回に分けて5つの口座へ送金し、1週間後に本社へ確認して初めて詐欺だと気づきました。英フィナンシャル・タイムズは、被害企業がシドニー・オペラハウスなどを手がけた Arup だと報じています。
国内でも、電話を使う手口の被害が膨らんでいます。警察庁がまとめた2025年の特殊詐欺の被害額は約1,423億円で、前年の約2倍、過去最悪でした。法人を狙うボイスフィッシングも増え、2025年の法人口座の不正送金被害は143件・約44億8千万円に上ると報じられています。銀行員を装って電話をかけ、聞き出したメールアドレスに偽サイトの案内を送り、インターネットバンキングのログイン情報を盗む、という流れが典型です。
自社の従業員が電話やメールでどこまで見抜けるか、無料でご相談を承っています。 デモ・個別相談を申し込む →
多要素認証（MFA）を回避する手口も出てきました。承認通知を何度も送りつけ、利用者が苛立って「承認」を押すのを狙う MFA 疲労攻撃は、MITRE ATT&CK でテクニック T1621 として分類されています。電話で「今テスト中なので届いた通知を承認してください」と誘導すれば、人の手で MFA を突破させられます。AI は、だます材料と手間を安くしました。だからこそ、人の判断だけに頼らない備えが要ります。
対策は教育・技術・ルールの3層で
人の隙は完全には消せません。消せないものは、小さくして、突かれても被害が広がらないようにします。層は3つです。
教育 — フィッシングメールの見分け方や、不審な電話への対応を、座学より模擬訓練で体に入れます。送りっぱなしにせず結果を測り、引っかかった人へ追加訓練を回す PDCA が効きます。急かす・秘密・いつもと違う経路、という危険信号を合言葉にします。
技術 — だまされても止める仕組みを置きます。中でも効くのが、フィッシングに強い多要素認証です。パスキーや FIDO2 のように、偽サイトでは成立しない方式にしておけば、パスワードを渡してしまってもログインは通りません。MFA 疲労攻撃には、通知を押すだけでなく画面の数字を入力させる方式（番号照合）が有効です。メールの入口では、なりすましメールを弾くメールセキュリティゲートウェイを併用します。
ルール — 手順で縛ります。送金や口座情報の変更は、依頼が来た経路とは別の、登録済みの番号にかけ直して確認する（コールバック）。高額な取引は複数人の承認を必須にする。離席時は画面ロック、書類はシュレッダー、記録媒体は物理破壊。どれも地味ですが、Arup の事例で欠けていたのは、この「別経路での確認」でした。
だまされても被害を止める：多要素認証とアカウント管理
教育でだまされる確率を下げても、ゼロにはできません。だから、だまされた後に被害を止める層が要ります。ソーシャルエンジニアリングの最終目的は、たいてい「アカウントに入ること」です。ここを固めれば、入口で人がしくじっても、被害の手前で止まります。
LOCKED ATP は、実際の攻撃と同じ形の訓練メールを送り、従業員がどこまで見抜けるかを測って底上げします。人の層を鍛える部分です。LOCKED MSO は、多要素認証とフィッシングに強いパスワードレス認証で、パスワードが漏れてもログインを通さない状態を作ります。だまされても、そこで止まります。LOCKED DAS は、アカウントの権限を必要な範囲に絞り、退職者のアカウントを確実に止めるので、仮に1つのアカウントが乗っ取られても、そこから広がる範囲を小さく抑えます。
人をだます攻撃に、万能の技術的対策はありません。だからこそ、鍛える・止める・広げないの三段で構えるのが現実解です。人の隙は残る前提で、その隙が致命傷にならない設計にしておくこと。それが、AI でだましが安くなった時代の守り方です。
訓練から多要素認証、権限設計まで、人を狙う攻撃への備えを無料でご相談いただけます。 資料請求・デモ依頼はこちら →
参考資料
- IPA：情報セキュリティ10大脅威 2025
- 警察庁：特殊詐欺の認知・検挙状況等について
- MITRE ATT&CK：Multi-Factor Authentication Request Generation (T1621)
- 内閣サイバーセキュリティセンター（NISC）：インターネットの安全・安心ハンドブック