ソーシャルエンジニアリングとは？

コンピュータのセキュリティでは、ユーザーの最善の努力にもかかわらず、多くの問題が発生します。たとえば、いつでもマルバタイジングによってマルウェアに感染する可能性がありますが、これは本当に不運によるものです。広告ブロッカーを使用するなど、リスクを最小限に抑えるために実行できる手順があります。しかし、このように打たれるのはユーザーのせいではありません。ただし、他の攻撃は、ユーザーをだまして何かをさせることに焦点を当てています。これらのタイプの攻撃は、ソーシャルエンジニアリング攻撃の広範な旗印に含まれます。

ソーシャルエンジニアリングには、人々が特定の状況をどのように処理して結果を操作するかを分析および理解することが含まれます。ソーシャルエンジニアリングは、大規模なグループに対して実行できます。ただし、コンピューターのセキュリティに関しては、大規模なキャンペーンの一部として使用される可能性がありますが、通常は個人に対して使用されます。

人々のグループに対するソーシャルエンジニアリングの例としては、気を散らすためにパニックを引き起こそうとする試みが挙げられます。たとえば、軍隊が偽旗作戦を実行したり、混雑した場所で誰かが「火事だ」と叫び、混乱の中で盗んだりします。あるレベルでは、単純なプロパガンダ、ギャンブル、および広告もソーシャルエンジニアリング手法です。

ただし、コンピューターのセキュリティでは、アクションはより個別化される傾向があります。フィッシングは、クリックしてリンクし、詳細を入力するようにユーザーを説得しようとします。多くの詐欺は、恐怖や貪欲に基づいて操作しようとします。コンピューターセキュリティにおけるソーシャルエンジニアリング攻撃は、サーバールームへの不正アクセスを試みるなど、現実の世界に踏み込むことさえあります。興味深いことに、サイバーセキュリティの世界では、この最後のシナリオやそれに類するシナリオは、通常、ソーシャルエンジニアリング攻撃について話すときに意味されます。

広範なソーシャルエンジニアリング – オンライン

フィッシングは、攻撃者に詳細を提供するよう被害者をソーシャルエンジニアリングしようとする攻撃の一種です。フィッシング攻撃は通常、電子メールなどの外部システムで配信されるため、2 つの異なるソーシャルエンジニアリングポイントがあります。まず、メッセージが正当なものであることを被害者に納得させ、リンクをクリックさせる必要があります。これにより、フィッシングページが読み込まれ、そこでユーザーは詳細を入力するよう求められます。通常、これはユーザー名とパスワードになります。これは、最初の電子メールとフィッシングページの両方が、ソーシャルエンジニアリングによってユーザーを信頼させるのに十分な説得力があるように見えることに依存しています。

多くの詐欺は、被害者にお金を渡すようにソーシャルエンジニアリングを試みます。古典的な「ナイジェリアの王子」詐欺は、被害者が少額の前払い金を支払うことができれば、多額の支払いを約束します。もちろん、被害者が「料金」を支払うと、支払いは一切受け取られません。他のタイプの詐欺攻撃も、同様の原理で機能します。被害者に何かをするよう説得します。通常は、金銭を渡すか、マルウェアをインストールします。ランサムウェアもその例です。被害者はお金を引き渡す必要があり、暗号化されたデータへのアクセスを失うリスクがあります。

対面でのソーシャルエンジニアリング

サイバーセキュリティの世界でソーシャルエンジニアリングが言及される場合、通常は現実世界での行動を指します。豊富なサンプルシナリオがあります。最も基本的なものの 1 つは、テールゲートと呼ばれます。これは、誰かの後ろに十分近くにホバリングしているため、アクセス制御されたドアを開けたままにして、あなたを通り抜けさせます. テールゲーティングは、被害者があなたを助ける可能性のあるシナリオを設定することで強化できます. 1 つの方法は、喫煙休憩で外の喫煙者とたむろし、グループと一緒に屋内に戻ることです。別の方法は、何かぎこちないものを運んでいるように見えることです。このテクニックは、あなたが持っているものが他の人のためのものである場合、さらに成功する可能性が高くなります. たとえば、「あなたのチーム」のためにコーヒーマグのトレイを持っている場合、誰かがあなたのためにドアを開けたままにしておくようにという社会的圧力があります.

対面でのソーシャルエンジニアリングの多くは、シナリオを設定し、そのシナリオに自信を持つことに依存しています。たとえば、ソーシャルエンジニアは、一般的に見過ごされがちな建設作業員や掃除人のふりをすることがあります。善良なサマリア人のふりをして、「紛失した」USB サムドライブを渡すと、従業員がそれを差し込む可能性があります。その目的は、それが誰のものであるかを確認することですが、システムがマルウェアに感染する可能性があります。

この種の対人ソーシャルエンジニアリング攻撃は、誰もそのようにだまされることを期待していないため、非常に成功する可能性があります。ただし、現行犯で逮捕される可能性が非常に高い攻撃者にとって、それらは大きなリスクを伴います。

結論

ソーシャルエンジニアリングとは、特定の目的を達成するために人々を操作するという概念です。1 つの方法は、実際に見える状況を作成して、被害者をだまして信じ込ませることです。また、被害者が標準的なセキュリティアドバイスに反する行動をとることに対する社会的圧力または期待があるシナリオを作成することもできます。ただし、すべてのソーシャルエンジニアリング攻撃は、1 人または複数の被害者をだまして、攻撃者が望んでいるアクションを実行させることに依存しています。