人をだます攻撃に気付く

1人の行動を狙う

ソーシャルエンジニアリングは、人の心理や行動、運用の隙を使って情報を得る手口です。肩越しに暗証番号を盗み見するショルダーハッキング、担当者になりすまして電話で聞き出す行為、廃棄物をあさる行為などがあります。

盗聴は通信や会話をひそかに聞くこと、なりすましは他人を装うことです。クラッキングは不正に侵入・破壊する行為を指します。情報の漏えい、媒体の紛失・破損は故意にも誤操作でも生じます。

2急がせる送金依頼を確かめる

ビジネスメール詐欺（BEC：Business Email Compromise）は、取引先や経営者などを装い、送金先の変更などをだます攻撃です。正しい会話履歴が付いていても、メールのアカウント自体が乗っ取られている可能性があります。

新しい口座への振込を求められたら、そのメールに書かれた電話番号を信じるのではなく、事前に登録した連絡先で確認します。急ぎでも複数人で承認し、通常の手順を省きません。

3流出情報が取引される場所

ダークウェブは、専用の仕組みで接続する匿名性の高いウェブ領域です。一般の検索に出ない全てのページと同じではありません。検索されない会員専用ページなどは深層ウェブに含まれますが、それだけでダークウェブとは呼びません。

盗まれた認証情報が売買される場になることがあります。ただし匿名性という特徴と全利用者が犯罪者という断定は別です。業務では担当者が脅威情報を活用し、流出が疑われた情報を変更・保護します。

4依頼の内容と相手の確認方法を考える

サポート担当を名乗る電話で「急いで直すのでパスワードを教えて」と求められた場面を考えます。コンピュータに候補を次々入力する総当たりとは異なり、担当者らしい肩書きや焦りを使って、人から情報を得ようとする手口です。

相手の名乗りだけを信じて秘密情報を伝えず、組織が定めた窓口や以前から登録した連絡先で確認します。

対策も人の行動に合わせます。暗証番号の入力を周囲から見えにくくし、紙の顧客情報は決められた方法で廃棄します。急な依頼でも通常の確認や承認を省かず、不審な聞出しは担当者へ報告します。被害の入口が会話、視線、廃棄物のどこにあるかを考えると、守る行動を選べます。