最終更新日：2026年6月24日
sg sg-security-overview threat_vulnerability unauthorized_access
まず結論
ソーシャルエンジニアリングとは、技術的な脆弱性を直接攻撃するのではなく、人の心理・不注意・信頼関係を悪用して、ID、パスワード、機密情報などを不正に得る手口です。
SG試験では、選択肢に「管理者になりすます」「電話で聞き出す」「背後からのぞき見る」「捨てられた書類を探す」といった表現が出たら、ソーシャルエンジニアリングを疑います。
直感的な説明
ソーシャルエンジニアリングは、鍵を壊して部屋に入るのではなく、鍵を持っている人をだまして鍵を渡させるような攻撃です。
たとえば、次のような場面です。
- 情報システム部門の担当者を装って、利用者からパスワードを聞き出す
- 背後から画面やキーボード入力をのぞき見る
- ゴミ箱に捨てられたメモや印刷物から情報を探す
- 机上の付箋、印刷物、FAX、プリンター出力を勝手に見る
技術的な防御をしていても、利用者が秘密情報を渡してしまうと攻撃が成立するため、教育、確認手順、物理的な管理が重要になります。
定義・仕組み
ソーシャルエンジニアリングは、攻撃対象のシステムそのものではなく、システムを使う人や、情報を扱う職場環境を狙います。
JPCERT/CCの注意喚起でも、ソーシャルエンジニアリングは、人の心理的・社会的な弱点や盲点を使う手法として説明されています。詳しくは、JPCERT/CCのソーシャルエンジニアリングが参考になります。
代表的な手口は、次のように整理できます。
| 手口 | 何をするものか | SG試験での判断ポイント |
|---|---|---|
| なりすまし | 管理者、上司、取引先などを装って情報を聞き出す | 信頼できる相手のふりをする |
| ショルダーハッキング | 背後や近くから画面・入力内容を見る | 人の視線で盗み見る |
| トラッシング／スキャビンジング | 廃棄物や残された書類から情報を探す | ゴミ箱、廃棄物、残留情報 |
| のぞき見 | 机上のメモ、付箋、印刷物などを見る | 物理的に見える情報を盗む |
| 電話・メールでの聞き出し | 関係者を装って認証情報や内部情報を質問する | 人に話させる・入力させる |
SG試験では、難しい技術名よりも、「人をだましているのか」「人の行動や不注意を利用しているのか」を見ると判断しやすくなります。
どんな場面で使う？
ソーシャルエンジニアリングは、社内の通常業務の中に紛れ込みやすい攻撃です。
たとえば、次のような場面で問題になります。
- ヘルプデスクを装った電話でパスワードを聞き出される
- 上司や取引先を装ったメールで、機密資料の送付を求められる
- 来訪者や清掃業者を装って、執務室内の書類や画面を見られる
- 退勤後の机上、プリンター、ゴミ箱から情報が見つかる
対策としては、技術的な防御だけでなく、次のような運用も重要です。
- パスワードを電話やメールで教えないルールを徹底する
- 本人確認や折り返し確認の手順を決める
- 机上に機密情報を放置しない
- 重要書類はシュレッダーや溶解処理で廃棄する
- 画面ののぞき見防止、入退室管理、来訪者管理を行う
SG試験では、人の判断・職場運用・物理的な情報管理が絡む選択肢として出題されることがあります。
よくある誤解・混同
トロイの木馬との違い
トロイの木馬は、正常なソフトウェアを装って侵入し、裏で情報窃取や不正操作を行うマルウェアです。
| 用語 | 判断ポイント |
|---|---|
| ソーシャルエンジニアリング | 人をだます・人の不注意を利用する |
| トロイの木馬 | 正常なソフトを装う不正プログラム |
選択肢に「便利なプログラムを装う」「裏で不正動作する」とあれば、ソーシャルエンジニアリングよりもトロイの木馬を疑います。
踏み台攻撃との違い
踏み台攻撃は、第三者の端末やサーバを攻撃に利用する手法です。
| 用語 | 判断ポイント |
|---|---|
| ソーシャルエンジニアリング | 人から秘密情報を得る |
| 踏み台攻撃 | 他人の機器を攻撃の中継に使う |
選択肢に「第三者のコンピュータを利用して攻撃する」「攻撃元を分かりにくくする」とあれば、踏み台攻撃です。
ブルートフォース攻撃との違い
ブルートフォース攻撃は、パスワードや暗号鍵の候補を総当たりで試す攻撃です。
| 用語 | 判断ポイント |
|---|---|
| ソーシャルエンジニアリング | 人をだまして情報を得る |
| ブルートフォース攻撃 | 可能な組合せを順番に試す |
選択肢に「文字種と桁数から作れる全ての組合せを試す」とあれば、ブルートフォース攻撃です。
フィッシングとの違い
フィッシングは、偽メールや偽サイトで利用者をだまし、IDやパスワードなどを入力させる手口です。
フィッシングにはソーシャルエンジニアリングの要素がありますが、SG試験では次のように切り分けます。
| 表現 | 疑う用語 |
|---|---|
| 偽サイトに誘導して入力させる | フィッシング |
| 管理者や関係者を装って聞き出す | ソーシャルエンジニアリング |
| 背後から画面を見る | ショルダーハッキング |
| 廃棄物から情報を探す | スキャビンジング |
確認問題（SG試験対策）
社内の利用者に電話をかけ、保守作業に必要だと信じ込ませて認証情報を伝えさせようとする攻撃はどれか。
- ア. ブルートフォース攻撃
- イ. 踏み台攻撃
- ウ. ソーシャルエンジニアリング
- エ. DNSキャッシュポイズニング
▶ クリックして答えと解説を見る（ここを開く）
正解：ウ
解説
- ア：ブルートフォース攻撃は、候補を総当たりで試す攻撃です。
- イ：踏み台攻撃は、第三者の端末やサーバを攻撃の中継に利用する手法です。
- ウ：正しい。人を信用させ、本人の操作や発言から秘密情報を得ようとする手口です。
- エ：DNSキャッシュポイズニングは、DNSのキャッシュに偽の名前解決情報を入れる攻撃です。
👉 判断ポイント
技術的に破るのではなく、人の判断や信頼を悪用して情報を出させるなら、ソーシャルエンジニアリングを疑います。
まとめ（試験直前用）
- ソーシャルエンジニアリングは、人の心理・不注意・信頼関係を悪用する攻撃
- なりすまし、ショルダーハッキング、トラッシング、のぞき見が代表例
- トロイの木馬は不正プログラム、踏み台攻撃は他人の機器利用、ブルートフォース攻撃は総当たり
- SG試験では、技術を破る話か、人をだます話かで選択肢を切る