弱点は、機械より「人間」
サイバー攻撃、と聞くと、高度な技術で、コンピュータのシステムを、無理やり破る——そんなイメージを、持つかもしれません。しかし、前レッスンを踏まえて、意外な事実を、知っておきましょう。多くの攻撃で、最も狙われるのは、コンピュータの技術的な弱点ではなく、それを使う「人間」の心理なのです。だから、攻撃の手口を知ることは、専門知識がなくても、誰にでもできる、有効な防御になります。このレッスンでは、代表的な攻撃の手口を知り、「だまされない目」を養います。手口を知れば、その多くは、防げるのです。
人をだます——ソーシャルエンジニアリング
サイバー攻撃で、極めて重要な手口が、ソーシャルエンジニアリングと呼ばれるものです。難しそうな名前ですが、意味は、シンプルです。技術ではなく、人間の心理につけ込んで、人自身に、だまして操作させる手口です。
なぜ、人間が狙われるのでしょうか。どんなに、システムを技術的に固めても、それを使う人間が、うっかり、パスワードを教えてしまえば、防御は、崩れます。攻撃者にとって、頑丈なシステムを技術的に破るより、人をだますほうが、簡単なことが、多いのです。人間の、次のような心理が、つけ込まれます。
- うっかり・不注意:急いでいて、よく確認せずに、クリックしてしまう
- 思い込み:「本物だろう」という思い込み
- 焦り・恐怖:「至急、対応しないと、大変なことになる」と、焦らせる
- 信頼:知人や、有名企業を装われると、信じてしまう
- 欲:「当選しました」「儲かります」という誘惑
前に心理学や、だましの手口で学んだ、人間の心理的な弱点が、そのまま、攻撃に利用されるのです。だから、防御の鍵は、技術だけでなく、自分自身の心理の弱点を、知っておくことにあります。「焦らされているな」「うますぎる話だな」と、気づけること。それが、最大の防御です。
代表的な、攻撃の手口
具体的に、よく使われる攻撃の手口を、知っておきましょう。手口を知っていれば、遭遇したときに、「これは、あの手口だ」と、気づけます。
- フィッシング:最も代表的な手口。本物そっくりの、偽のメールやウェブサイトを使って、相手をだます。銀行や、有名企業、宅配業者などを装い、「アカウントを確認してください」などと誘導し、偽のサイトで、パスワードやカード情報を、相手自身に入力させて盗む。技術で盗むのではなく、「自分から差し出させる」のが、巧妙な点です
- 不正なプログラム(マルウェア):メールの添付ファイルや、怪しいリンクから、悪意のあるプログラムを、端末に忍び込ませる。情報を盗んだり、端末を乗っ取ったり、データを人質にとって身代金を要求したりする
- なりすまし:知人や、上司、取引先に、なりすまして、お金を振り込ませたり、情報を聞き出したりする
- 偽の警告:「ウイルスに感染しました」という、偽の警告を表示し、慌てさせて、不正なソフトを入れさせたり、お金を払わせたりする
これらの手口に、共通するのは、前に見たように、人間の心理を、巧みに利用する点です。技術的に高度である必要は、ありません。人を、焦らせ、信じ込ませ、うっかりさせる。だからこそ、手口を知り、冷静さを保つことが、有効なのです。
手口を知ることが、防御になる
このレッスンの、最も大切なメッセージは、攻撃の手口を知ることが、それ自体、強力な防御になる、ということです。多くのサイバー攻撃は、人間の心理につけ込みます。しかし、その手口を知っていれば、だまされにくくなります。
- 「本物そっくりのメール」が来ても、「フィッシングかもしれない」と、疑える
- 「至急、対応を」と焦らされても、「焦らせるのは、手口だ」と、立ち止まれる
- 「うますぎる話」に、「これは、誘惑の手口だ」と、気づける
これは、前にレトリックやプロパガンダで学んだ、「手口を知れば、操作されない」というのと、まったく同じ構造です。攻撃者は、あなたの心理の隙を、突こうとします。その手口を知っているあなたは、隙を、突かれにくい。専門的な技術がなくても、手口を知り、冷静さを保つだけで、多くの攻撃を、防げるのです。次のレッスンでは、こうした知識に加えて、具体的な「守りの基本」を学びます。
ニュースで使う視点
フィッシング詐欺、なりすまし、情報を盗む攻撃に関わるニュースに触れるときは、「これは、人間のどんな心理につけ込む手口か」を考えてみてください。そして、自分の元に来る、怪しいメールやメッセージにも、この視点を向けてください。手口を知る目は、あなた自身を、サイバー攻撃から守る、最も身近で強力な盾になります。次のレッスンでは、守りの基本を学びます。