前回のコラムでは、人間の持つ思い込みや、行動のミスなどのスキにつけ込むことで、個人が持っている情報などを入手する「ソーシャルエンジニアリング」について触れ、「なりすまし」という手口について考えました。今回はこのソーシャルエンジニアリングについて、さらに考えてみたいと思います。

　ソーシャルエンジニアリングには、大きく分けて「心理的手口」と「物理的手口」の２つがあります。前回触れた「なりすまし」は、人間心理のスキにつけ込む心理的手口です。ソーシャルエンジニアリングの物理的手口として代表的なものに「ゴミ箱あさり」があります。英語でゴミをトラッシュ(trash)と言うことから「トラッシング(trashing)」とも呼ばれます。

　通常の家庭では、毎日出るゴミをあさり続けられると、その家庭に関する多くの情報が漏れてしまうことでしょう。最近は、家庭用シュレッダーの普及によって、一時に比べれば、トラッシングによる情報収集は難しくなったものと思いますが、油断は禁物です。シュレッダーから出るシュレッダーダストをジグソーパズルのように根気よく再構成したり、つい面倒でそのまま捨ててしまったダイレクトメールなどのゴミから情報を入手したりする手口の可能性も指摘されています。

　非常に古典的ながら、「のぞき見」も立派な物理的ソーシャルエンジニアリングの手段になります。パスワードを肩越しにのぞき見る、家の中にあるものから、経済状況や家族構成などの情報を知るなどの方法が、その具体的手口として挙げられるでしょう。見晴らしがよい場合、望遠鏡を使って遠くから建物の中をのぞくなどの行為もありえます。窓を開けるときには、家の中が直視できないようにすることです。

　物理的ソーシャルエンジニアリングによる情報収集のターゲットとなるのは、企業などの組織の場合が多く、一般家庭がそのターゲットになるのは想像しづらいかもしれません。しかしながら、家の外観や、使っている車の車格から、その家の大体の経済状況を推測するという多くの人が行っている行為も、広い意味では物理的ソーシャルエンジニアリングと言えるのです。泥棒が下見の際に行う、家族の行動パターンの把握などは、物理的ソーシャルエンジニアリングそのものと言っても過言ではありません。

　一般家庭の場合、ソーシャルエンジニアリングそのものが被害に直結することはそう多くないかもしれません。しかしながら、ソーシャルエンジニアリングによって得られた情報が、間接的に泥棒などの犯罪被害の引き金になるのは十分にあり得ることなのです。油断をせず、注意するに越したことがないことがお分かりいただけたかと思います。

（参考）
・「情報を渡す場合にも注意　だまされないようにするには」（2010/05/17「安心豆知識」）


セコムIS研究所
セキュリティコンサルティンググループ
甘利康文