古代ギリシャがトロイの町に届けた「贈り物」の木馬の話を覚えているだろうか。ソーシャルエンジニアリング攻撃は決して新しいものではない。それでも極めて効率性の高い現代のツールは、フィッシングや誘惑、なりすましの手口を使って被害者をだます。

　「私たちはソーシャルメディアを通じ、見知らぬ相手にも気ままに情報を渡してしまう。そして多くの場合、壊滅的な事態を引き起こし得る情報の断片を攻撃者に提供したことに気付かない」。ソーシャルエンジニアリングサービスと研修の専門企業、米Social-Engineerの最高ヒューマンハッカーで、最高経営責任者（CEO）兼社長のクリス・ハドナギー氏はそう話す。

　ソーシャルエンジニアリング攻撃は、プロフェッショナルも含めて誰もが被害者になり得る。「自分がソーシャルエンジニアリングにだまされたと気付くことはほとんど不可能」と話すのは、米RSAでフィッシング詐欺対策サービスを担当するダニエル・コーエン氏。悪質なソーシャルエンジニアリングはセキュリティにとって最大級の問題だと話し、「人間と機械の間に意識的なインタフェースがある限り、ソーシャルエンジニアリングは常に存在する」と指摘する。

　ソーシャルエンジニアリングがこれほど横行している主な理由はカネにある。2013年にRSAが確認したソーシャルエンジニアリング攻撃は6万2000件を超え、1カ月間に発生した攻撃件数の記録を塗り替えた。攻撃によるダウンタイムは平均で12時間、1時間当たりの被害額は約300ドル。2013年10月だけで、フィッシング詐欺の被害総額は2億3300万ドルになる。

　しかも、もうけを出すのは簡単だ。闇市場では50万通の電子メールを一斉送信できるスパムサービスがわずか75ドルで手に入る。「50万通のうちの何人かは必ず、ビットコインであれ何であれ、求められたものを送ってしまう。世界で何億という衝撃的な規模のフィッシング被害が発生しているのはそういう理由による」とコーエン氏は解説する。

新たな標的

　フィッシング詐欺ではこれまで、金銭情報は商品化したり売ったりしやすいという理由から金融業界が狙われてきた。だが、今ではモバイルやゲーミングプラットフォーム、さらには航空会社のマイレージプログラムが狙われるようになってきた。

　特に気掛かりなのは、闇市場で徐々に医療情報が値上がりつつあり、医療機関が標的として浮上していることだ。ただコーエン氏によれば、攻撃の大多数は依然として金融機関を狙っている。

　フィッシング詐欺の標的が広がっている一因は、暗黒Web上の闇サイトのおかげで、世界中の攻撃者が匿名で接触し、協力する手段を持っていることにある。彼らは個人情報の不足部分を埋め、それを使ったり売ったりできるよう、ソーシャルエンジニアリングのスキルを持ったパートナーを頻繁に募集している。

巧妙なだましの手口

　ソーシャルエンジニアリング攻撃に関する従業員の教育は重要であり、認識を高めさせるための研修を会社が積極的に行う必要がある。「単純にソーシャルメディアに関するポリシーや行動規範に署名させるだけではリスクを回避することも、適切な認識を持ってもらうこともできない」。ソーシャルエンジニアリング認識やうそ発見研修を専門とするカナダInterVeritas Internationalのネホラ・コリス最高経営責任者（CEO）はそう話す。

　従業員研修では何を教えればいいのか。初心者には、フィッシング詐欺や誘惑、なりすましがどんなものであり、どのように使われるのかを知ってもらう。

　ソーシャルエンジニアリング攻撃が心理学や人としての本質をどう突いてくるのか従業員に理解させることが大切だ。「個人の弱い部分を見つけ、人としての善意に付け入ることによってその部分を突くことができれば、ソーシャルエンジニアリングの効率は大幅に高まる」と前出RSAのコリス氏は言う。

　従業員研修のもう1つの局面として前出Social-Engineerのハドナギー氏が挙げるのは、問題が発生した時点でどう回避するかを学ぶことだ。多くの企業では依然として、不審なメールや電話を受け付ける担当者や部署が存在しない。

　「混乱が生じる前に、そうした出来事を報告する場を設けることが肝心だ。解雇される不安を取り除くことも大切だ。従業員が安心してインシデントを報告できれば、企業ははるかに迅速にソーシャルエンジニアリングの影響を回避できる」とハドナギー氏。

　ソーシャルエンジニアリングの侵入テストでは、驚くほどの弱点が発覚し、より個人的なレベルでの認識が高まる。

　「われわれがやっているソーシャルエンジニアリング侵入テストは情報収集が大部分を占める。50％以上の時間はそれに費やしている。われわれはどんなものでも収集する。ソーシャルメディアのおかげでこれは簡単だ。LinkedIn、MySpace、Facebook、Twitterなどのソーシャルメディアサイトに行けば、相手がWebで何を公開しているかが分かる」（ハドナギー氏）

　特にLinkedInについてコリス氏は、「多くのユーザーが自分の全職務履歴を掲載しながらプライバシー設定はほとんど使っておらず、だます側にとっては夢のツール」だと指摘する。「フィルターはほとんどなく、自分で意識して隠すための努力をしなければ、自分の情報が誰にでも見られる状態になる」

　ハドナギー氏によれば、だます側は相手の会社の電子メールアドレスの使い方、自分の好き嫌いやお気に入りのレストラン、子どもといったことについてのメッセージをどう広めているかを具体的に探っているという。「悪意を持った攻撃者が探す弱点は、一般的には相手が好きなものや楽しんでいるものに関連する。自分の好みに合っていれば、リンクをクリックしたり、自分へのアクセスを許したりしまいがちになる」と同氏。

　ある銀行の女性管理職は、飲み物を手に持った写真796枚と、自身のビキニ姿の写真398枚をFacebookのプロフィールに掲載していた。これは簡単に悪用されかねない「弱点」だとコリス氏は言う。「この管理職はさらに、自分の誕生日やエスカラード（岩登り）の写真、運転免許証も掲載していた。顧客のプライバシーに配慮すべき立場にありながら、Facebookでは何の分別も見られなかった」。さらに悪いことに、Facebookのプロフィールの隣には銀行のロゴと行員の写真が並んでおり、もちろん全部タグ付けされていた。

　一見無害に思える情報がソーシャルエンジニアリングのとっかかりになることもある。ハドナギー氏は言う。「私たちがある会社に侵入できたのは、電話で清掃業者の名前を聞き出したことによる。数日後、その業者名が入った帽子とシャツをあつらえたところ、社内に入れてもらえた。全ては電話で聞き出した1つの簡単な情報がもとになった。自分たちが名乗った通りの人物かどうかは確認されなかった」。

　ハドナギー氏らはこうした監査の結果を企業研修に活用している。「第三者を介在させ、従業員やネットワークをだまして、弱点がどこにあるかを示すことは大きなメリットがある。侵入テストの最後には、私たちが使ったフィッシング詐欺メールや通話内容、なりすましの手口を見せる。通用した手口とその理由、どこで失敗したか、そして特に、失敗したらどうすべきかを教える」という。

　研修がソーシャルエンジニアリング対策にどの程度役立つかについて一致した見解はない。場合によっては強い動機を持ったプロと対峙しなければならないこともある。「会社レベルでユーザーの啓発とソーシャルエンジニアリング研修が同じ影響を持つことはない。プロは驚くほど手の込んだ攻撃を仕掛けてくる。攻撃に関する統計では、第三者から不審な点を指摘されて初めて、自分たちが攻撃に遭ったことに気付く企業が多い実態が判明している」とRSAのコーエン氏は解説する。

入り口から先へ

　攻撃者が使う主な手口の1つがソーシャルエンジニアリングだと理解することは役に立つ。だが全ての攻撃に共通することといえばデータの盗難だ。

　ソーシャルエンジニアリング攻撃に対処するための「汝のデータを知る」アプローチでは、こちらがどのようなコントロールをかけようが、有能な攻撃者にかわされてしまうことを想定する。その脅威モデルを自社のデータに当てはめてはどうだろうか。これは簡単ではないが、必要になりつつある。

　「自分が見ていないものがトラブルの原因となる。この場合はデータがそれだ」と解説するのは米Forrester Researchでセキュリティやリスクのプロフェッショナルを担当する副社長兼主席アナリスト、ジョン・キンダーバグ氏。「われわれは自分たちのデータの内容や場所を知らない。そのためネットワークの境界をうろついて無作為に保護をかける」

　大切なのは、自社に対する不正侵入の件数と、データ流出があったかどうかを把握することだが、多くの企業は「単純にその質問に答えられない。それはソーシャルエンジニアリングという入口から始まり、あまりに長い間、壁から大型テレビが持ち去られていないかどうかをチェックしようとしてこなかったからだ」とキンダーバグ氏は言う。

　自問すべきは、今現在、自社のデータが流出していないかどうかという問題だ。

　セキュリティチームはデータを十分理解して、それがどう流れるべきかを知り、そのパターンからはみ出していないかどうかをチェックしなければならない。キンダーバグ氏は「ソーシャルエンジニアリングに対する答えは、重点をソーシャルエンジニアリング防止の試みから、現時点でデータが攻撃者の手に渡っていないと確認する手段を持つことへ切り替えることにある」と指摘。究極的にはデータが出ていく全ての場所をセキュリティチームが見張り、会社の極秘データや有毒データ（※）が出て行かないよう、その全てを継続的に監視する必要がある。「データ流出の可能性がある場所を把握できなければ、トラブルに巻き込まれる」と同氏は警告する。

※有毒データ（toxic data）：組織の中から外部に持ち出されると組織に損害を及ぼすデータ。個人情報、顧客情報、知的財産情報など。米Forrester Researchでよく使われる表現。

　セキュリティ対策はインターネットのみに集中させてはならない。セキュリティが甘くなりがちな無線ネットワークにも重点を置く必要がある。従来型のWANもリスクにさらされる。「WANはセキュアなプライベートネットワークと思われている。攻撃者は相手が安全だと思っている場所に狙いを定める」とキンダーバグ氏。

　社内ユーザーにも目を光らせる必要がある。「従業員には一定の割合で、報酬と引き換えに競争相手に有毒データを提供しようとする不正な人物や、サイバースパイのために送り込まれた回し者がいる可能性もある」と同氏は言い添えた。

今後の変化

　ソーシャルエンジニアリング攻撃に対抗するため、ネットワークセキュリティ対策はいずれ、人間の行動への依存度を低め、一切の意識的な認証からユーザーを切り離す必要性に迫られる。

　RSAのコーエン氏は言う。「アナリティクスは、裏側での行動を調べてネットワーク内部での動きの意味を理解する役に立つ。だがビッグデータとアナリティクスは、人間の意識的な行動を切り離す助けにもなる。行動を調べ、データがどこへ移動しているか、誰が誰と話しているかを調べることにより、その行動パターンから、自分たちが狙われているか、あるいは攻撃されているかを把握できる」

　また、パスワードから先へ進むべきときも来ている。パスワードは最も単純なフィッシング詐欺で盗み出せるからだ。IDトークンや2要素認証を使ったとしてもまだ不十分だ。「もし何者かがマシンにマルウェアを感染させれば、完全に正規のサイトにしか見えない画面でトークンのコードを要求できる。これは重要なところだ。意識的な人間の行動の上に2要素認証を据えることはできない」（コーエン氏）

　米AppleのiPhoneでは既に、指紋を通じたバイオメトリクス認証に踏み出しているが、これを他の認証パラメータと組み合わせれば、将来的にはソーシャルエンジニアリングが不可能な認証IDの形成が可能になるかもしれない。

　もう1つの注目すべき分野は、都市に進出しつつある「モノのインターネット（IoT：Internet of Things）」だ。自宅の電球や、家の中のあらゆるモノがIPアドレスを持つようになれば、必然的に攻撃対象領域の一部になると認識しておく必要がある。「モノのインターネットは実際には『IPアドレスのインターネット』に近い」とForrester Researchのキンダーバグ氏は解説する。

　ソーシャルエンジニアリング攻撃に対抗することはできても、ソーシャルエンジニアリングがなくなることはない。Social-Engineerの最高インフルエンシングエージェント、ミシェル・フィンチャー氏はこう総括している。「われわれの意思決定の多くは人としての本質や行動に由来し、われわれは人として反応している。ソーシャルエンジニアリングに長けた相手はそれをどう操るかを真に理解しており、テクノロジーだけで安全を守ることはできない」