心理学から紐解くソーシャルエンジニアリングの手口と対策 「なぜ人は騙されるのか」

ソーシャルエンジニアリングの定義と主な手口

ソーシャルエンジニアリングの定義

ソーシャルエンジニアリングとは、人間の心理・行動の隙を突くことで、情報や金銭を不正に取得する手段の総称を指します。その源流は1970～1980年代に行われていた電話システムを不正に操作する「フリーキング（Phreaking）」と関係しています。

フリーキングをする人たちは、当時高額だった長距離電話などを無料で利用するために、技術的な不正操作を試みていました。次第に技術だけでは限界が生じたことから、電話会社の保守点検者になりすまして電話越しにシステムの仕様を聞き出したり、電話会社のゴミ捨て場からマニュアルやシステム構成図などの情報を探し出したりするようになりました。ソーシャルエンジニアリングは、このようなフリーキング文化の中で発展しました。

ソーシャルエンジニアリングの主な手口一覧

ソーシャルエンジニアリングには多くの手口があります。ここでは3つに大別し、「物理型」「コミュニケーション型」「Web型」としてそれぞれ順番に解説します。

①物理型

標的企業や従業員から直接的に情報を詐取するだけでなく、実際に建物内に物理的に侵入するまでの幅広い手口が含まれます。具体的には、以下のようなものがあります。

②コミュニケーション型

会話、電話、メール、チャット、SNS、オンライン会議ツールなどを用いて、情報または金銭を詐取する手口です。具体的には、以下のようなものがあります。

③Webサイト型

不安を煽る、利得をちらつかせる、または慣れに対する人間の習性を利用して、情報または金銭を詐取する手口です。具体的には、以下のようなものがあります。

心理学から見る被害者が騙される背景

なぜ人はソーシャルエンジニアリングに騙されてしまうのか。それは、心理学の観点から説明できます。ここからは、攻撃者が狙う「人間の心理・行動の隙」について、解説します。

人は、感情・認知・行動の3つの成分から「態度」を形成し、形成された態度に基づいて行動します（図１）。たとえば、好意という感情的成分から相手の指示に従う、信念という認知的成分から情報の真偽を判断して拡散する、習慣という行動的成分からポップアップ画面が出たら反射的にOKボタンを押すといったことです。

この態度は、外的な力に影響されて変化することがあります。これを「態度変容」といい、態度変容を促進する方法には説得と学習があることがわかっています。説得とは、理性や感情に働きかけ、自発性を尊重しながら、送り手の意図する方向に意見・態度・行動を変化させることです。説得に応じなければ態度変容は起こらず、元から形成していた態度が維持されて行動につながります。これに対し、説得に応じた場合は態度変容が起こり、送り手の意図する行動をとることにつながります。

説得に対する人の態度変容の詳細について、精緻化見込みモデル ¹ を用いて解説します（図2）。精緻化見込みモデルは、人が説得を受けて態度を決めるプロセスには2つのルートがあるとしています。1つ目は、動機付け、認知的能力、論拠の質に基づく認知構造の変化によって態度が決まる「中心ルート」です。2つ目は、周辺情報から簡便に判断して態度を決める「周辺ルート」です。

人は説得されると、まず中心ルートの動機付けにおいて、自分との関係や関心の有無によって分岐します。

次に、説得内容を精査する認知的能力があるかどうかで分岐します。この際、思考を妨害する要素（多忙、睡眠不足、体調不良、切羽詰まった状況など）があると、能力が十分に発揮されず周辺ルートに移行します。

最後に、処理の性質という内容の説得力から、説得内容を「支持」する認知が構成されると、態度変容が起こって説得が成功します。逆に、説得内容に「反論」する認知が構成されると態度変容は起こらず、説得は失敗します。

動機付けや認知的能力がない、加えて説得内容に対する支持/反論もない場合（「中立」）は、周辺ルートに移行し、周りに判断材料となる手がかりを求めます。たとえば、メールであれば差出人に対する信頼が説得成功につながることがわかっています ²。周りに手がかりがない場合には、初期の態度が保持されます。これは説得失敗に該当しますが、慣れや反射などの無意識からの行動によって結果的に説得成功と同じ行動（URLクリックなど）をしてしまう可能性は残ります。

攻撃者が用いる騙しのテクニック

攻撃者は、説得によって被害者の態度変容を促し、情報または金銭を詐取するという目的を達成しようとします。被害者を説得するために攻撃者が用いる騙しのテクニックについて、「社会的勢力」と「チャルディーニの法則」の2つをあげながら解説します。

社会的勢力（Social Power）

社会的勢力 ³ とは、他者へ影響を与える側が持っている力を６つに分類した理論です（表1）。攻撃者は社会的勢力を持つ差出人になりすまし、被害者が説得に従うよう誘導します。

報酬勢力とは、相手が望む報酬を与える力のことです。攻撃者の説得に従うと被害者は得をすると騙します。強制勢力とは、罰を与える力のことです。攻撃者の説得に従わないと被害者は損をすると騙します。正当勢力とは、社会的な地位や権威による力のことです。攻撃者は被害者が説得に従う義務があるかのように見せかけます。準拠勢力とは、魅力的で追従したくなる力のことです。攻撃者は魅力な要素により被害者を誘引します。専門勢力と情報勢力は、専門的な知識や有用な情報を持つことによる力のことです。攻撃者は専門家を騙ることで説得内容の論拠の質を高めようとします。

表1：社会的勢力を悪用するフィッシングメールの例

種類	メール本文の例
報酬勢力	還付金がありますので以下のリンクから手続きをお願いします。
強制勢力	現在お使いのパスワードを変更しないとアカウントが停止されます。
正当勢力	親会社/経営層からのアンケートに回答ください。
準拠勢力	1万人がこのアプリを高く評価！今すぐダウンロード！
専門勢力 情報勢力	セキュリティ会社のサポート窓口です。セキュリティ向上のため、以下のリンクから最新バージョンにアップデートをしてください。

チャルディーニの法則

チャルディーニの法則 ⁴ は、交渉のプロが共通して使っている説得テクニックを6つに分類した理論です（表2）。攻撃者は説得テクニックを用いたメッセージにより、被害者が無意識に説得に応じた行動をするよう誘導します。

返報性とは親切にされたらお返しをする習性のことであり、攻撃者が親切な対応の見返りとして被害者に従うよう要求します。コミットメントと一貫性とは一度確約したことを守ろうとする習性のことであり、攻撃者は被害者が同意したからと追加の要求をします。社会的証明とは確信がない時に他者の行動を参考にする習性のことであり、攻撃者は多くの人が選択したと被害者を騙します。好意とは相手からの好意を感じると要求を受け入れやすくなることを指し、攻撃者は被害者に好感を持たせて騙します。権威とは信頼や服従から短絡的な意思決定を誘導するものであり、攻撃者は肩書きなどを使って被害者を騙します。希少性とは機会が失われるものや限られたものに価値を見出す習性のことを指し、攻撃者は数量、時間、情報などを限定することで被害者を騙します。

表2：チャルディーニの法則を悪用するフィッシングメールの例

種類	メール本文の例
返報性	ご利用アカウントへの不審なログインをブロックしました。安全のため、こちらからログインしてパスワードを変更してください
コミットメントと一貫性	ご利用前に同意頂いたサービス規約が改定されました。引き続きご利用いただくには、下記のボタンよりお手続きをお願いいたします。
社会的証明	85%のお客様が更新を完了しました。未完了の方はお急ぎください。
好意	インタビュー取材をさせていただきたく、添付の詳細をご覧ください。
権威	国の統計調査にご協力ください。すべての人に回答義務があります。
希少性	ポイントの有効期限が迫っています。お早めにご利用ください。

チャルディーニの法則に基づいて標的型メールを作成して添付ファイルの開封率を比較したところ、日本人は好意、権威、希少性を用いたメッセージに騙されやすいことが分かりました ⁵。海外の研究では、若者は希少性のメッセージに騙されやすく、高齢者は返報性のメッセージに騙されやすいという年齢による違いもみられました ⁶。

また、昨今ではAIを用いたフィッシングメール攻撃の自動化が脅威となっています。AIが、自動でOSINT（公開情報の収集・分析）をして標的のプロファイルを生成し、パーソナライズされたフィッシングメールを配信するという手口です。このようなAI自動生成メールは、専門家の人間がチャルディーニの法則（権威/希少性）を用いて作成したフィッシングメールと同じ割合のURLクリック率（54%）を示しました ⁷。

攻撃者の狙いや被害者の心理を踏まえた対策

フィッシングメールについて、企業およびセキュリティ担当者に求められる技術面、運用面、社員教育・啓発面における対策は、第1回で解説しました。これらの対策の有効性を高める、攻撃者の狙いや被害者の「心理を踏まえた対策ポイント」を補足します。

1. 社員教育で「騙しのテクニック」を学ぶ

   フィッシングメールに関する教育は、騙されてフィッシングサイトに個人情報などを入力する可能性を40%減らす効果があると報告されています ⁸。教育ではフィッシングメールを見分けるポイントとしてヘッダー情報やURLなどを確認するよう解説しますが、URLを見ても正しいか否かを判断できない場合があったり、人はメール本文の解釈に重点を置く傾向があったりします ⁹。

   
   

   判断が難しいフィッシングメールに関しては、メールの件名や本文に「騙しのテクニック」が用いられているかどうかを確認することが重要です。メールに書かれている内容に信憑性があるかどうかで判断するのではなく、「報酬や罰をほのめかしていないか」「権威をちらつかせて指示に従うよう誘導していないか」「至急と書いて焦らせようとしていないか」といった騙しのテクニックの有無をチェックすることが有効です。

2. 疑似攻撃訓練は報告率を重視する

   疑似攻撃訓練では訓練メールの開封率を減らすことを目指していますが、攻撃者が用いる騙しのテクニックや被害者の心理状態の影響もあり、実際に開封率を0%にするのは困難です。さらに、今後フィッシングメールのパーソナライズ化が進み、騙されてしまう確率はより高まります。

   
   

   攻撃者の狙いや被害者の心理を踏まえると、疑似攻撃訓練は「騙されることを前提とした訓練」と捉え直すことが重要です。そのためには、訓練の目標を「開封率を減らす」ことから、「報告率を増やす」ことにシフトしていきましょう。フィッシングメールを開いてしまったとき、人は精神的なダメージから冷静な判断・行動ができなくなる可能性があります。騙される前提社会では、騙された後のレジリエンスを高めることが有効です。

   
   

   「騙しのテクニック」は、疑うきっかけを提供します。疑ったり悩んだりした時に、周囲の従業員に相談しやすい組織風土を作ることが重要です。また、社員教育・啓発により判断能力が高まったとしても、思考を妨害する要素（多忙、睡眠不足など）があると能力が十分に発揮されない可能性があります（図2）。従業員個人の問題ではなく、労務状況など環境面も含んだ問題として捉えて改善することをおすすめします。

---