ソーシャルエンジニアリングとは、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の言葉を借りれば、攻撃の一種で、 「攻撃者は、人間とのやり取り（社会的スキル）を利用して、組織またはそのコンピュータシステムに関する情報を入手したり、侵害したりする。」これは、ソフトウェアではなく人を標的にしているため効果がある。Verizonの2026年データ侵害調査報告書によると、 違反の62％に人的要因が関与していた。前年の60％から上昇した。
ここでは、5つずつ3つのセットに分けた15のソーシャルエンジニアリングの例を紹介します。それぞれの例には、注意すべき危険信号と取るべき対策が示されています。セット1はフィッシング、セット2はなりすましと偽装、セット3は物理的な攻撃と餌付けを扱っています。各セットの最後には、 私たちのピック最初に学習させる例と、その理由を1行で説明します。
以下の企業、人物、メッセージの例はすべて架空のものです。
セット1：フィッシングファミリー
- メールフィッシング。 銀行、サプライヤー、または自社のITチームからのメッセージに見せかけたメッセージで、リンクをクリックしてサインインするように求められます。CISAによると、フィッシング攻撃は電子メールや悪意のあるWebサイトを使用して、 信頼できる組織を装って個人情報を勧誘する. 赤旗： 実際の企業を装った送信元アドレス、例えば「お客様各位」といった一般的な挨拶、あるいはマウスカーソルを合わせたときに表示されるテキストとアドレスが一致しないリンクなど。 停止します。 クリックしないでください。アドレスを直接入力してサイトにアクセスするか、メッセージを報告してください。
- スピアフィッシング。 同じ手口だが、今回は特定の人物を標的にしている。送信者はあなたの名前、上司の名前、そしてあなたが実際に携わっているプロジェクト名を使用する。これらの情報は公開されている情報から推測できるものだ。 赤旗： 「今日中にアトラスの契約書を送ってくれ」など、妙に具体的でありながら、普段の彼らしくない要求。 停止します。 既に知っている電話番号に電話をかけるなど、別の方法で送信者に問い合わせてください。
- スミッシング。 テキストメッセージによるフィッシング。CISAの説明 smishing これは、SMSメッセージに含まれるリンク、番号、アドレスなどをタップするとブラウザが開いたり、電話が発信されたりするソーシャルエンジニアリングの一種です。 赤旗： 「荷物保留中」または「アカウントロック中」というテキストと短いリンク。 停止します。 それを削除して、実際のアプリまたはサイトを自分で開いてください。
- ビッシング。 CISAによると、音声によるフィッシング。 ヴィッシング 音声通話を使用しており、発信者番号は偽装できるため、見覚えのある名前が表示されたとしても、それは何の証明にもならない。 赤旗： プレッシャーをかけ、コードやパスワードを要求する発信者。 停止します。 電話を切って、明細書または会社のウェブサイトに記載されている番号にかけ直してください。
- QRコードを使ったフィッシング詐欺。 QRコードは、それが導くアドレスを隠します。FBIは警告しています。 QRコードが入った未承諾の荷物 受信者に個人情報や金融情報を要求したり、データ窃盗ソフトウェアをインストールしたりするもの。 赤旗： 送信者情報のない、予期せぬコード。 停止します。 出所不明のQRコードはスキャンしないでください。
私たちが選んだ例：例4、フィッシング詐欺。 Verizonは、フィッシングシミュレーションにおいて、クリック率の中央値が 音声通話やテキストメッセージなどのモバイル中心の通信手段は40%増加した メールよりも、電話の方がはるかに信用できない。人々は電話よりも早くメールを信用しなくなった。
セット2：なりすましと偽装
Verizonは、プリテキスティングを攻撃者の戦術と定義しており、 信頼関係は、作り出されたシナリオを通して築かれる。 ユーザーを騙して組織のセキュリティを侵害するような行動を取らせる行為で、多くの場合、音声によるものだが、メールやテキストメッセージによるものもある。2026年の報告書では、この手口による侵害は全侵害の6％を占め、フィッシングによる侵害の16％を下回っている。
- CEOによる不正行為とビジネスメールの不正利用。 FBIのインターネット犯罪苦情センター（IC3）は、 ビジネスメール侵害 (BEC) これは企業を標的とした詐欺であり、侵害されたメールアカウントやその他の通信手段を利用して不正な資金移動を引き起こします。2025年には、IC3は24,768件のBECに関する苦情を記録し、報告された損失額は約30億5000万ドルに上りました。 赤旗： 上級幹部からの緊急の依頼で、支払いまたはギフトカードの購入を求められ、「誰にも言わないで」という一文が添えられている。 停止します。 お支払い請求は、電話または直接面談にてご確認ください。
- 偽のITサポート。 ヘルプデスクの担当者を名乗る人物が、「問題を解決するため」にパスワードまたはリモートアクセスを要求する。IC3が受信。 2025年には47,794件の技術サポートに関する苦情が発生する見込み。報告された損失額は2.1億ドルを超えている。 赤旗： IT部門から最初に連絡があり、パスワードまたはワンタイムコードを求められる。 停止します。 正規のITチームはあなたのパスワードを必要としません。電話を切って、通常の手順でサポートチケットを発行してください。
- 仕入先請求書の変更。 常連の取引先と思われる人物からのメールには、銀行口座情報が変更になったと書かれている。IC3のBECの定義は、標的を絞った詐欺を対象としている。 サプライヤーと取引し、定期的に電信送金を行っている企業. 赤旗： 新しい銀行口座情報と支払い期限。 停止します。 変更を加える前に、登録済みの電話番号でサプライヤーに電話してください。
- 偽の採用担当者。 「リクルーター」が昇進のような役職を提示して従業員に近づき、その後、個人書類やダウンロードが必要なテスト課題を要求する。IC3は、 2025年には24,688件の雇用詐欺に関する苦情が寄せられる見込み。. 赤旗： あなたが応募していないオファーが、迅速な手順で提示される。 停止します。 採用担当者については、会社の採用ページを通して確認し、面接のためにソフトウェアをインストールしてはいけません。
- ディープフェイク音声。 監督に似たクローン音声が緊急の支払いを要求する。IC3はこう述べている。 音声クローンは電信送金の依頼に利用できる また、企業は2025年にAIを利用したBEC詐欺によって30万ドル以上の損失を被ると報告している。 赤旗： 確認する前に行動を促す音声メッセージや電話。 停止します。 支払いに関する合言葉や折り返し連絡のルールを決めておく必要があるので、説得力のある声だけでは不十分だ。
私たちが選んだのは、事例6、CEOによる詐欺とBEC（ビジネスメール詐欺）です。 これはここで挙げた事例の中で最も費用のかかるもので、IC3の2025年の統計ではテクニカルサポート詐欺をも上回っています。しかも、対策は安価です。お金が動く前に、既知の番号に電話を1回かけるだけで済みます。
セット3：物理攻撃と誘い出し
これらの攻撃にはキーボードは不要です。建物内の部外者がファイアウォールで保護されているものにアクセスできるため、これらの攻撃は重大な問題となります。
- テールゲートパーティー。 誰かが「両手がふさがっているから」という理由で、セキュリティドアを通ってあなたの後をついてくる。 赤旗： バッジを付けていない、気さくでフレンドリーな人。 停止します。 丁寧に各自でバッジを装着するようお願いするか、受付まで案内してください。
- USBメモリを餌にしておこう。 「2027年給与見直し」と書かれたUSBメモリが駐車場またはロビーに置かれている。 赤旗： あなたが購入していないリムーバブルドライブ。 停止します。 拾った機器は絶対に電源に接続しないでください。IT部門に渡して、安全に検査してもらいましょう。
- 肩越しに波に乗る。 電車内やホットデスクで、誰かがあなたの画面を読んだり、あなたが暗証番号を入力する様子を覗き見たりする。 赤旗： 人が近づきすぎたり、スマートフォンを画面に向けている場合。 停止します。 プライバシーフィルターを使用し、席を離れるときは画面をロックし、壁に背を向けて座りましょう。
- ゴミ箱漁り。 印刷されたメール、組織図、会議の議事録などが普通のゴミ箱に捨てられると、攻撃者は次の電話のために、名前、電話番号、プロジェクト名などの情報を入手できてしまう。 赤旗： 名前や番号が書かれた紙が、開いたゴミ箱の中に入っている。 停止します。 シュレッダーを使うか、鍵のかかるゴミ箱を使うようにし、机の上を常に整理整頓する習慣を身につけましょう。
- 偽の配達。 ブランドロゴ入りのジャケットを着た配達員が、受付を通り抜けて中に入れてほしい、もしくはサーバー室に荷物を置いていってほしいと頼む。 赤旗： 注文されていない配達物、または受付に届けられない配達物。 停止します。 フロントで受け取り、身に覚えのない荷物については、ラベルに記載されている担当者に確認してください。
私たちのおすすめ：例11、テールゲートパーティー。 特別なスキルも費用も一切不要で、必要なのは礼儀作法だけです。スタッフに丁寧な対応の手順書を用意しておけば、相手に異議を唱えることが失礼ではなく、ごく自然なことのように感じられます。
15個すべてを止める方法
これら15の例には共通点が1つある。それは、迅速かつ単独で行動することを促す点だ。しかし、3つの習慣がそれを打破する。
- 別のチャネルを通して確認してください。 要求に金銭、パスワード、コード、またはアクセスが含まれる場合は、既に持っている連絡先情報を使用して別の方法で確認してください。CISA は、要求が本物かどうか確信が持てない場合は、 会社に直接問い合わせて確認してください。また、メッセージに記載された連絡先情報とは関係ありません。
- それを報告する。 CISAが疑わしいフィッシング攻撃に対して推奨しているのは、 メッセージを報告する そして、それを削除しましょう。ワンクリックで報告できる、責任を問わない習慣にすることで、最初に問題を発見した人が他の全員に警告を発するようにします。
- 速度を下げて下さい。 CISAリスト 緊急性や感情に訴えかける言葉 フィッシング詐欺の一般的な兆候の一つとして、CISAは、AIによってスペルミスのないメールも出回るようになったため、文法が完璧だからといって安全とは限らないと指摘しています。メッセージが速さを要求してきたら、それは立ち止まるべきサインです。
トレーニングは習慣を定着させる方法です。違反の62%に人的要素が存在するため、 ベライゾンの2026年レポートこれらの15の例を見つける練習をしたチームは、あなたの防御の真の一部です。より広範なプログラムについては、ガイドを参照してください。 サイバーセキュリティ意識向上トレーニング.
ソーシャルエンジニアリングセッションを開催する方法 AhaSlides
15の例題を、部屋で、あるいはビデオ通話で、参加者の反応に合わせて画面に答えを表示しながら、実際に実行してみましょう。
- 回答を選択してください：「本物か、それともフィッシング詐欺か？」 それぞれの例について架空のメッセージを提示し、それが本物かどうかを尋ねてください。危険信号を明らかにして議論してください。
- ワードクラウド：「最もよく遭遇する詐欺」 一番大きな単語は、最初に練習すべき内容を示しています。
- 評価尺度：「偽物を見抜く自信はどのくらいありますか？」 セッションの前後で1～5の評価を尋ね、平均値を比較してください。
- 自由回答：「私が受け取った不審なメッセージ」 名前を伏せた上で、実際の事例を集め、その中から最も優れたものを次のラウンドのシナリオとして使用してください。
フィッシングとソーシャルエンジニアリングのコーステンプレートには、すぐに使えるスライドが用意されており、それを活用できます。また、内部脅威認識テンプレートは、チーム全体にとって良いフォローアップとなります。
よくある質問
ソーシャルエンジニアリングの例にはどのようなものがありますか？
フィッシング、プリテキスティング、ベイト、テールゲーティングが主な手口です。この記事では、メールフィッシングやビッシングから、偽のITサポート、USBベイト、偽の配送まで、15種類の手口を紹介します。
最も一般的なソーシャルエンジニアリングの種類は何ですか？
フィッシング。Verizonの2026年のレポートによると、フィッシングは全侵害の16％を占め、なりすましは6％となっている。また、IC3は2025年に191,561件のフィッシングとスプーフィングに関する苦情を受け付けた。
ソーシャルエンジニアリングを防ぐにはどうすれば良いですか？
リクエストは別のチャネルで確認し、不審なものは報告してください。攻撃の手口は単発の研修よりも早く変化するため、短期間で定期的な研修を実施してください。
プリテキスティングとは何ですか？
情報やアクセス権を得るために用いられる作り話。攻撃者は、ヘルプデスクへの電話など、信憑性のあるシナリオを通して信頼関係を築き、その後、パスワード、支払い、あるいはドアを開けてもらうよう要求する。
どこから始めれば
1つの例を選んで、次のチームミーティングで実行してみましょう。もし時間が限られているなら、フィッシング詐欺の例を選び、次に予期せぬ電話がかかってきたらどうするか、全員に尋ねてみてください。
