フィッシングは、ユーザーに何らかの行動を促す目的でメールを送信する手法だ。侵入テストにおけるフィッシングメールの主な目的は、ユーザーに何かをクリックさせて行動を記録することにある。大規模な侵入テストでは、プログラムを実際にインストールさせるケースもある。この場合、問題があるクライアント用ソフトウェア（Webブラウザや動的コンテンツ用のプラグイン、ソフトウェアなど）をターゲットにした攻撃コードを作成する。

　フィッシングの成功の鍵はパーソナライズである。信頼できる（あるいは信頼できるように見える）組織や人から、ターゲットとなるユーザーの状況に合わせてメールを送信すれば、ユーザーがそのメールを読んだり、その指示に従ったりする可能性が高くなる。スペルチェックと文法チェックも忘れてはならない。文章がしっかりとしているメールは、たとえ短文であっても相手を信じ込ませる効果が高いからだ。

　フィッシング攻撃の支援ツールとして最も有名なのは、オープンソースの「Social-Engineer Toolkit（SET）」だろう。これはメニュー方式で操作するメール／攻撃システムであり、フィッシングを仕掛けるのに最も手軽な手段の1つだ。米PhishMeの「PhishMe」や米Wombat Securityの「PhishGuru」といった商用製品も便利だ。

ソーシャルエンジニアリングによる侵入テスト：プリテキスティング

　プリテキスティングは、攻撃対象に電話をかけて情報を聞き出す手法であり、攻撃者が何らかの手助けを必要としているかのように装うケースが多い。侵入テストでは、有用な情報を持つ非技術系のユーザーをターゲットにすれば、この手法が成功する可能性が高い。

　最も効果的な戦略は、ささいな要求からスタートすること、そしてその情報を必要とするであろう社内の実在の人物の名前を出すことだ。プリテキスティングによる侵入テストでは、テスターが手助けを必要としているとターゲットユーザーに告げる（大抵の人は、怪しそうに思えない簡単な要求には応じるものだ）。いったん相手の信用を獲得してしまえば、テスターはより実質的な情報を聞き出すことに成功する可能性が高くなる。

　プリテキスティングテストを実施する前に、Googleの検索エンジンや南アフリカのPatervaの「Maltego」などのツールを利用して事前調査を行えば、必要な背景情報を得ることができる。米TelTech Systemsの子会社であるSpoofCardの発信者番号偽装ツールや米SpoofApp.comの「SpoofApp」、米DigiumのPBX「Asterisk」のアドオンを使えば、テスターの電話番号を偽装できる。

ソーシャルエンジニアリングによる侵入テスト：メディアドロッピング

　メディアドロッピングは、駐車場やビルの入口付近などの人目に付きやすい場所にUSBメモリを放置（ドロップ）する手法である。USBメモリの中には興味をそそるような名前のファイルを入れておき、これを開くとクライアント攻撃プログラムが起動するという仕掛けだ。

　こうしたファイルを作成するための無償ツールの1つである「Metasploit」は、悪質なペイロード（攻撃用コード）を生成する機能を備えている。前述のSETに含まれる「Infectious Media Generator」機能もMetasploitを利用している。SETは、作成プロセスの自動化機能に加え、ターゲットとなるクライアントPCのオートラン（Autorun）機能が有効になっている場合に自動実行される「正規の」実行ファイルを作成する機能も備える。興味をそそるファイル名の指定と自動実行手法を組み合わせれば、侵入テストの成功率は高まるだろう。

　メディアドロッピングをさらに洗練させる方法としては、ターゲットに合わせて開発した攻撃プログラムをUSBメモリに仕込んだり、メディアドロッピング専用に作成された既製のUSBメモリを購入するといったことが考えられる。攻撃の成功率を高めるには、自動実行型攻撃プログラムと攻撃コード埋め込み型ファイル（PDFやMicrosoft Word、Excelなどの形式がベスト）の両方をUSBメモリに仕込んでおくといい。「人事データ」「雇用関連」といった関心を引きそうなラベルをUSBメモリに貼り付けておくのも効果的だ。

ソーシャルエンジニアリングによる侵入テスト：テールゲーティング

　テールゲーティングとは、実際の施設の職員をだましたり、何食わぬ顔をして施設内に入る手法だ。テールゲーティングの狙いは、テスターが物理セキュリティを回避できるかどうかを確認することにある。

　テールゲーティング成功の条件は、センシティブなデータを確保したりデバイスを取り付ける作業を短時間で完了することである。というのも、テスターは短時間で施設外に出なければならないこともあるからだ。テスターは、プリンタやデスクの上に開いたまま置かれている文書を撮影したり、侵入テスト用のドロップボックス（後からWi-Fiまたは3Gネットワークを通じてアクセスするための装置）を取り付けたりする。

　テスターは、上記4つのソーシャルエンジニアリング手法を利用することで企業の脆弱性を発見し、企業が悪質なソーシャルエンジニアリング攻撃の餌食になる可能性を少なくするためのセキュリティ管理や教育の方法をアドバイスできるのだ。

本稿筆者のデイブ・シャックルフォード氏は、米Voodoo Securityの創立者で主席コンサルタント。米IANSでは調査部門の上席副社長兼最高技術責任者（CTO）、米SANSの認定インストラクターも務める。セキュリティ、コンプライアンス、ネットワークアーキテクチャ、エンジニアリングの諸分野における何百もの組織のコンサルティング経歴を持つだけでなく、VMware vExpertでもあり、セキュアな仮想インフラの設計や構築の経験も豊富である。過去には、Configuresoft（米EMCが買収）の最高セキュリティ責任者（CSO）、米Center for Internet SecurityのCTOを歴任。Fortune 500の数社でセキュリティアーキテクト、アナリスト、マネジャーを務めた経歴を持つ。Course Technology（米Cengage Learningの1部門）の『Hands-On Information Security』や同社の情報セキュリティ管理に関する書籍の一部、さらに米SANS Instituteの仮想化セキュリティに関する書籍の共著者でもある。現在、米SANS Technology Instituteの取締役会のメンバーで、Cloud Security Allianceの米アトランタ支部を率いる。