【ブックレビュー】人を動かすハッカーの技術
最大の脆弱性は「人間」
「人はどのように信じ、判断し、行動するのか」は技術的な問題ではなく、人間の心理に根差しています。僕たちセキュリティ担当はどうしても技術的な対策を考え、「セキュリティツールの導入を…」「多要素認証を必須化…」「添付ファイルにパスワードを徹底…」などをやりがちですが、それでもサイバー攻撃による被害が増えるばかりなのは、根本的に人間の弱さが突かれるからです。僕自身、セキュリティの専門家として様々な手口を知っていたとしても、心を突いてくる攻撃には弱いだろうなと感じます。
ソーシャルエンジニアリングとは、人間の心理を巧みに利用してターゲットを誘導し、行動させたり情報を提供させたりする攻撃です。企業による技術的なセキュリティ対策が進んだ今、世の中で起きているサイバー攻撃の多くはソーシャルエンジニアリングによるもの、という調査結果もあります。
本書の筆者はサイバーセキュリティの専門家であり、この本は主にペネトレーションテスト（侵入実験）を業務として実施する人に向けて書かれています。 中では、僕らが毎日受信しているような「送信メールアドレスを詐称したメールを自動送信するシステム」の構築方法や、メールのURLに短縮URLを使うことで詐欺だとバレにくくする方法、本物そっくりのWebページの作り方（ご丁寧に、本物のサイトをクローンするツールが存在します）、入力されたパスワードやクレジットカード番号を収集するスクリプト、偽装した電話番号を用意するサービスなどが紹介されています。フィッシングシステムは安価なサービスを利用して構築でき、一度でも詐欺が成功すれば余裕で費用を回収（ペイ）できることが生々しく分かります。
また、技術的な指導だけでなく、ソーシャルエンジニアリングのスキルを向上させるために日常の中で実践できる演習や、報告書のテンプレートも用意されています。ペネトレーションテストは「従業員がフィッシング詐欺にどの程度引っ掛かったか」をきちんと報告してこその仕事であり、これをおろそかにすると訴えられる可能性があるためです。 なお、ペネトレーションテスターはターゲットの会社と正規の契約を結んだうえで、こっそり会社を攻撃するわけですから、やってよいことの範囲をしっかり文書に残してトラブルを避ける必要があるとのこと。アメリカの事例では、テストを許可されたエンジニアが想定を超えた範囲の作業を行ったことで逮捕されたケースも紹介されていました。技術的に「できる」ことと、業務として「やる」ことの境界を自分の中でしっかりと定める倫理観と、判断に迷ったら法律家にすぐ相談する慎重さが求められます。
本書では、攻撃の準備段階として「どうやって従業員から情報を聞き出すか」についても提示されています。企業の情報をまとめている有料のOSINT（公開情報調査）や、セキュリティリスクのあるサーバを検索できるShodanなどはこれまで読んできた本でも紹介されてきましたが、何よりソーシャルネットワーク（SNS）が普及した今の時代、LinkedInやFacebook、Instagram、X（旧Twitter）などで、自分がどの会社に所属し、どのようなプロダクトに関わっているかを自ら公開している人もたくさんいます。攻撃側にとっては、その人の欲求につけ込んで情報を得ることは容易です。 とはいえ、僕がブログでブックレビューを公開しているように、承認欲求というものは誰もが持っていますし、そこから就職や転職などキャリアアップにつながることもあります。SNSを禁止するのではなく、「会社の機密情報を公開しない」など、ルールを守った利用が求められます。
本書の第3章では、こうしたソーシャルエンジニアリングに対する防御テクニックも紹介されています。 私の会社で実際にあったソーシャルエンジニアリング（未遂）の事例についても紹介します。 日本国内で人気のチャットツール「ChatWork」は、無料で利用できて簡単にアカウント同士が繋がれるシンプルなUIと、国産である安心感から、非エンジニアや営業職の人に人気です。しかし、その敷居の低さを突かれ、最近はなりすましによるフィッシング詐欺が多発しています。以下は公式のリリースになりますが、
- 2026/01/20 - なりすましアカウントの報告・通報窓口について
- 2026/01/23 - なりすましアカウントに関するQ&A
- 2026/02/27【重要】セキュリティ強化に伴う仕様変更のお知らせ
- 2026/03/10【重要】フィッシングサイトにご注意ください
これらを見るだけでも、フィッシング詐欺の対応にかなり苦慮していることが伝わります。実際、Xでも「詐欺被害に遭ってしまった」という投稿を見かけました。
私の会社でも、ChatWorkのチャットルームに従業員を招待し、指定の口座にお金を振り込むよう促すフィッシング詐欺がありました。幸い（手前味噌ですが）普段から注意喚起を行っていたこともあってか、引っ掛かる従業員はいませんでした。 この攻撃が巧妙なソーシャルエンジニアリングだと言えるのは、会社の実際のプロジェクト名をタイトルにしたチャットルームを作り、関係者を名乗るアカウントがあらかじめ会話を進めたうえで従業員を招待し、あたかも業務の延長であるかのように自然に振り込みを促した点です。会社のプレスリリースなどを熱心にリサーチしていなければ、このような人間関係や状況を利用した攻撃はできません。まさにOSINTを利用したスピアフィッシング攻撃（特定のターゲットに狙いを定めた詐欺攻撃）の典型例です。 したがって被害を防ぐためにも情シスから全社向けのアナウンスが重要ですが
- URLのスペルが微妙に違う（数字の「0」とアルファベットの「O」など）のに気を付ける
- ブラウザのURLバーにカギマークがついていない（HTTPS化されていない）のに気を付ける
上記のようなアナウンスを1回するだけでは十分な対策にならないことは明らかです。地道で継続的なセキュリティ注意喚起を行う必要があり、本書では業務に支障がない「四半期に1回程度」の頻度が推奨されています。従業員の多くはセキュリティの専門家ではなく、コンピュータも業務のサポートのために使っているだけで、ITリテラシーが不足気味な場合もあるからです。そのため、以下のような単純ですが明確な周知が重要になります。
- 今流行しているフィッシング詐欺の手口を全社にアナウンスする
- 繰り返し「会社の取締役が、従業員に対してメールや電話で直接振り込みの指示をすることはない」と周知する
従業員への啓発を行う一方で、人間のミスをカバーしてくれるテクノロジーの導入もセキュリティ担当の責務です。Gmailをはじめとした現代のメーラーは怪しいメールをかなりの精度ではじいてくれますが、メールを送受信する各企業が責任を持ってなりすましメール対策（SPF、DKIM、DMARC）に対応することが推奨されます。また、EDRやDLPのようなPC自体の保護や、ネットワーク上を機密情報が流出していないかの検知など、ツールによる対策も当然必要です。
また本書を通じて、「Alien Labs OTX（Open Threat Exchange）」という世界最大級のオープンな脅威インテリジェンス共有プラットフォームの存在も知りました。英語ベースなのでどうしても心理的障壁がありますが、今はAIもありますし、本気を出せば情報収集に活用できるはずです。そもそもサイバー攻撃は英語圏から遅れて日本にやってくる傾向があるため、先んじて情報を収集しておけば、国内での被害の可能性を大きく下げることができます。
どちらかと言えばペネトレーションテスター、つまり「攻撃する側」の視点での解説が多い本書でしたが、“敵を知る”という意味で非常に有益な一冊でした。特にフィッシング詐欺システムの構築は今まで知らなかったので学びがありました。