投稿者: try

みなさんソーシャルエンジニアリングについてご存じですか？

ソーシャルエンジニアリングとは、コンピュータやネットワーク技術を利用せずに企業の機密情報などを、物理的手段（あるいは心理的手段）によって獲得する行為です。

第一回の情報コラムで「なりすましウイルス」についてご紹介しましたが、今回は人的行為による「なりすまし」を含めたソーシャルエンジニアリングの手口をご紹介します。

手口その１　構内侵入
実際に建物内に侵入する行為
• 偽造または拾得したIDカードで職員として入る
• 他の用件で訪問したついでに、他の部署に入る等

手口その２　なりすまし
不正アクセスの標的となる部署や個人に電話をかけ、ユーザIDやパスワードを巧みに聞き出す行為。

• 社員になりすます
• プロバイダなどのシステム管理者になりすます
• 企業のエグゼクティブになりすます

＊電話だけでなく、葉書などでアンケートを装って情報を収集したり、なりすましメールによりだまして情報を収集したりする手口もある。

手口その３　のぞき見
オフィスに入り込み、情報をのぞき見る行為

• ディスプレイの周りに貼られている付箋やメモを見る
• 机の上に放置された情報を見る
• 面会中に相手が席を外したすきにメモや手帳、パソコンのデータなどを見る

手口その４　トラッキング
ゴミとして廃棄されるなど、不要となったものの中から、目的とする情報を探し、取得する行為。
スカビンジングともいう。

• 深夜に、目標とする企業のゴミ収集所に行って探す
• 清掃員としてオフィスに入り込んで探す
• 裏紙をメモとして利用している店舗や窓口を調べ、何かと口実をつけてメモをもらう

昨今、コンピュータウイルスやハッキングによる情報漏洩が大きく取り上げられておりますが、情報漏洩の発生原因で最も多いのは管理ミスや不注意等の人的要因によるものです。

ソーシャルエンジニアリングもこの管理ミスや不注意につけ込んで情報収集する手段の一つです。
クリアデスクポリシー（机の上など身の回りの整理整頓など）やクリアスクリーンポリシー（離席時のモニタ電源オブやログアウトなど）及び入退室管理を徹底するなど、日常の活動で常に情報セキュリティを意識し行動することでソーシャルエンジニアリング対策は可能です。

そして、これがコストをかけずにできる身の回りの情報漏洩対策にもなるのです。

新年が明け、また新たな気持ちで１年を迎えた事と思います。

さて、平成25年１回目の最新情報は情報コラムとして、｢ネット詐欺｣についてその手口と対策についてお話します。

代表的なネット詐欺について、以下が挙げられます。

• ワンクリック詐欺 ･･･ HP上の画像やアイコン、勧誘メールやメール広告にクリックしてアクセスすると、有料サイトに誘導され、勝手に入会・登録され高額の入会・登録料金を請求されます。特に出会い系サイトやアダルトサイトで多く見られます。
  （他に、ワンクリック後に利用規約を表示し、承認のクリック後に請求をかけるツークリック詐欺もあります。）
• フィッシング詐欺 ･･･ 金融機関などからの正規のメールやWebサイトを装い、偽のサイトへ誘導し、
  そこで暗証番号やクレジットカード番号を入力させ、個人情報を詐取する詐欺です。
• ネットオークション詐欺 ･･･ ネットオークションで落札者からお金を受け取っても、商品を送らなかったり、偽の口座に振り込ませてお金を騙し取る詐欺です。


では、被害を少しでも受けないようにするには・・・

• ワンクリック詐欺 ･･･ 出会い系サイトやアダルトサイト等へのアクセス情報を個人情報と偽り、払わなければ法的措置を取ると脅しをかけてきますが、一番は無視することです。
  下手に返事を返したりすると、ネット詐欺師の思うつぼです。絶対無視しましよう。
• フィッシング詐欺 ･･･ メールには十分に注意し、書かれているリンクを安易にクリックしないことです。
  また、暗証番号やクレジットカード番号などの入力を要求してきた場合は、相手の連絡先が本物であるか確認が必要です。
• ネットオークション詐欺 ･･･ 出品者の過去の取引実績を確認したり、振込指定銀行や、名前、メールアドレス、電話番号を確認し、十分に身元を確認しましよう。

また、出品者からのメールや振込の控え、申し込み時のパソコン画面を印刷して保管しておくことが必要です。

最近では、ペニーオークション（運営側がオークション形式でユーザ側に物を販売しているサイト）で芸能人も絡んだ、手数料の搾取被害のニュースもありました。
現在のスマートホン等急速な普及から安易に様々な情報を簡単に入手できるに従い、今後いろいろな手口で新たなネット詐欺が登場すると思われます。
便利になる一方で必ずこういうマイナスの面があるのは、避けられないことです。
利用者の責任として、日頃から最新のネット詐欺の情報等に目を配り、その手口に対して最適な対策をおこなうことを心がけることが必要です。

皆さんはどのようなセキュリティ対策を行っているでしょうか？

情報コラム１回目となる今回は，「セキュリティ対策」として近年話題になった「なりすましウイルス」をもとにお届けしてまいります。

「なりすましウイルス」とは，他人のパソコンへ不正に侵入し，パソコンの所有者になりすました状態で外部から遠隔操作するウイルスのこと。「遠隔操作ウイルス」とも呼ばれています。

2012年にインターネット掲示板を通じて「なりすましウイルス」に感染したパソコンから，犯罪予告の書き込みが行われる事件が発生し，パソコンの所有者が次々と逮捕される事件がありました。

では，実際にはどのようにして「なりすましウイルス」から身を守ればよいのでしょうか？

1. 市販のウイルス対策ソフトウェアを導入し，ウイルス定義ファイルを最新の状態にする。
2. OS（Windows等）のアップデートを定期的に行い最新の状態にする。

また，パソコンを操作する際には次の点にも気を付けましょう。

1. 不明なリンクにアクセスしない。
2. 安全が確認されていないファイルを安易に開いたりダウンロードしたりしない。

セキュリティ対策と言っても普段から行えること，今すぐに実行できることがたくさんあります。簡単なことから始めて確実に自分の身を守っていきましょう。