SG｜ソーシャルエンジニアリングとフィッシングをわかりやすく解説

ソーシャルエンジニアリングは、システムの技術的な弱点だけでなく、人の心理、思い込み、業務上の慣れ、物理的な行動を利用し、秘密情報の開示、不適切な操作、送金、入室などを行わせる手口です。

攻撃者は、次のような状況を作ります。

情報システム部門や上司を装い、緊急対応を求める
金融機関や配送業者を装い、偽サイトへ誘導する
取引先を装い、振込先口座の変更を依頼する
正規利用者の後について制限区域へ入る
画面やキーボード操作を背後から盗み見る
廃棄書類や記録媒体から情報を探す

これらは手段が異なりますが、共通しているのは、相手が示した情報や経路をそのまま信用させることです。

この記事では、ソーシャルエンジニアリング、フィッシング、スミッシング、SEOポイズニング、BEC、ショルダーハッキング、共連れ、スキャベンジングを一つの判断手順で整理します。

先に結論：どの心理・経路・行動を利用しているかで分ける
1．ソーシャルエンジニアリング：人を欺いて情報・操作・アクセスを得る
2．フィッシング：正規組織を装い、偽の経路へ誘導する
1. フィッシングで行わせる操作
3．スミッシング：SMSなどのテキストメッセージを使うフィッシング
1. 典型的な文面
2. 適切な確認方法
4．SEOポイズニング：検索結果なら安全という思込みを利用する
5．URL確認は補助手段であり、安全の保証ではない
6．BEC：メールや業務手続を悪用して送金させる
1. 典型的な手口
2. BECとフィッシングの関係
7．BECへの対応：メールの外にある正規経路で確認する
1. なぜ返信では確認にならないのか
2. 送金してしまった場合
8．ショルダーハッキング：画面・入力・書類を周囲から盗み見る
1. 盗み見られる情報
2. 対策
9．共連れ：正規利用者の入室に続いて未認証者が入る
1. 利用される状況
2. 対策
10．スキャベンジング：廃棄物や残置物から情報を探す
1. 狙われるもの
2. 対策
11．不審な連絡・来訪を受けたときの共通手順
よくある取り違え
科目Bでの判断手順
まとめ
関連記事
参考資料・基準日
1. 関連する問題

先に結論：どの心理・経路・行動を利用しているかで分ける

分類	攻撃者が利用するもの	代表例
対話・連絡による誘導	権威、緊急性、不安、親切心、業務上の慣れ	なりすまし電話、フィッシング、スミッシング、BEC
物理的な観察・侵入	視線の届く範囲、開いている扉、来訪者への親切心	ショルダーハッキング、共連れ
廃棄物・残置物の探索	不適切に廃棄された書類・媒体・機器	スキャベンジング
検索・Web経路の悪用	検索上位や広告なら安全という思込み	SEOポイズニング、偽サイト

事例問題では、次の三点を確認します。

攻撃者は誰を装っているか
どの心理・経路・物理状況を利用しているか
被害者に何をさせようとしているか

1．ソーシャルエンジニアリング：人を欺いて情報・操作・アクセスを得る

ソーシャルエンジニアリングは、人をだまして信頼を得たり、心理的な反応を利用したりして、秘密情報、システムへのアクセス、送金、不適切な操作などを引き出す手口です。

利用される心理・状況

心理・状況	典型的な誘導
権威	上司、経営者、情報システム部門、警察、金融機関などを装う
緊急性	「今すぐ」「本日中」「アカウントを停止する」と急がせる
不安・恐怖	不正利用、未納料金、セキュリティ事故を告げる
親切心	困っている来訪者や同僚を装い、入室や操作を頼む
好奇心・利益	賞品、重要資料、限定情報などを示す
業務上の慣れ	いつもの請求、配送、会議、社内連絡に見せる
秘密性	「他の人には言わないで」「経営者の極秘案件」と口止めする

攻撃者が組織内部の用語、実在する担当者名、取引内容を知っていても、本人であるとは限りません。

公開情報
SNS
過去のメール
漏えいした名簿
侵害したメールアカウント
生成AIで作成した自然な文面・音声

などが悪用される場合があります。

電話でワンタイムパスワードを聞き出す事例

情報システム部門を名乗る者から電話があり、「緊急調査で必要」と言われたため、従業員がワンタイムパスワードを伝えた。

これはソーシャルエンジニアリングです。

情報システム部門を名乗る：権威の利用
緊急調査を理由にする：緊急性の利用
ワンタイムパスワードを伝えさせる：不適切な情報開示

ワンタイムパスワードは短時間しか使えなくても、攻撃者が直ちに正規サービスへ入力すれば悪用される可能性があります。

また、認証アプリへ届いた承認通知について、電話の相手に促されるまま「承認」を押す行為も危険です。

正規担当者でも通常求めない情報

次の情報や操作を求められた場合は、その場で応じず、組織の手順に従って確認します。

パスワード
ワンタイムパスワード
PINコード
秘密の質問の答え
認証アプリの承認
復旧コード
顧客情報・機密情報
不審な遠隔操作ソフトの導入
急な送金・支払
セキュリティ設定の無効化

2．フィッシング：正規組織を装い、偽の経路へ誘導する

フィッシングは、実在する企業、金融機関、通販事業者、行政機関、社内担当者などを装い、偽の電子的な連絡やWebサイトなどを使って利用者を誘導し、秘密情報や金銭をだまし取ったり、不正な操作を行わせたりする手口です。

フィッシングで行わせる操作

偽サイトでID・パスワードを入力させる
クレジットカード情報を入力させる
ワンタイムパスワードを入力させる
認証アプリの承認を行わせる
不正なアプリ・構成プロファイルを導入させる
添付ファイルを開かせる
偽のサポート窓口へ電話させる
暗号資産や料金を支払わせる

フィッシングを「メールで偽サイトへ誘導する手口」だけに限定してはいけません。

経路には次のようなものがあります。

電子メール
SMS・メッセージアプリ
SNS
検索結果・検索広告
QRコード
Web広告
偽のブラウザ通知

中心となるのは、信頼できる組織を装い、電子的な連絡や偽サイトなどの攻撃者側の経路へ利用者を誘導することです。

電話だけで認証情報や送金を求める手口は、まず電話を使ったソーシャルエンジニアリングとして判断します。フィッシングメールや偽サイトから偽のサポート窓口へ電話させるなど、複数の経路が組み合わされる場合もあります。

3．スミッシング：SMSなどのテキストメッセージを使うフィッシング

スミッシングは、SMSなどのテキストメッセージを利用するフィッシングです。

SMSそのものが危険なのではありません。SMSを使って正規組織を装い、リンク、電話番号、アプリなどへ誘導する手口がスミッシングです。

典型的な文面

荷物を持ち帰ったので確認してほしい
クレジットカードの利用を停止した
未納料金がある
アカウントに異常がある
本人確認が必要である
税金・給付金の手続が必要である
セキュリティ設定を更新してほしい

スマートフォンでは、送信元の詳細やリンク先の全体が見えにくい場合があります。また、正規メッセージと同じスレッドへ偽メッセージが表示されるように見える場合もあります。

適切な確認方法

メッセージ内のリンクを開かない
記載された電話番号へ直接かけない
公式アプリを自分で起動する
登録済みのブックマークから接続する
契約書・カード・公式書類に記載された窓口を利用する
組織内の不審連絡報告手順に従う

4．SEOポイズニング：検索結果なら安全という思込みを利用する

SEOポイズニングは、検索エンジン最適化の手法を悪用し、不正サイトや改ざんされたページを通常の検索結果の上位へ表示させて利用者を誘導する手口です。

スミッシング	SEOポイズニング
SMSなどのメッセージから誘導する	通常の検索結果から誘導する
通知の緊急性を利用しやすい	検索上位なら安全という思込みを利用する
フィッシングの伝達手段に着目	検索順位の操作・悪用に着目

SEOポイズニングで誘導された先が偽ログイン画面であれば、フィッシングにも該当し得ます。マルウェア配布や偽サポート詐欺へつながる場合もあります。

検索広告を悪用した誘導もありますが、広告が表示されたという事実だけでSEOポイズニングとは判断しません。SEOポイズニングは、検索順位を不正に高めて誘導する点に着目した名称です。

検索結果の最上位や広告表示、企業名と似た名称であることは、安全性の保証になりません。

検索から公式サイトを探す場合も、検索結果のドメイン、広告表示、運営主体を慎重に確認します。最も確実なのは、事前に登録した公式アプリやブックマークなど、既知の正規経路を使用することです。

5．URL確認は補助手段であり、安全の保証ではない

URLの確認は、明らかな偽サイトを発見する手掛かりになります。

しかし、目視だけで全てのフィッシングを確実に見分けることは困難です。

攻撃者が利用する方法

正規ドメインによく似た文字列
文字の置換・追加・欠落
長いサブドメイン
国際化ドメイン名の見た目が似た文字
短縮URL
複数サイトを経由するリダイレクト
リンクの表示文字列と実際の接続先の不一致
正規サイトや正規サービスの侵害
HTTPS証明書を取得した偽サイト
QRコードによる接続先の隠蔽

HTTPS・鍵マークの意味

HTTPSや鍵マークは、主に次を示します。

端末と接続先との通信が暗号化されている
証明書に基づいて接続先ドメインを検証している

しかし、接続先が利用者の意図した銀行、通販事業者、行政機関であることや、サイトの運営内容が正当であることを単独で保証するものではありません。

攻撃者も自分が取得したドメインに証明書を設定できます。

判断の基本

判断	評価
URLの確認は全く無意味である	誤り。明らかな偽装を見つける手掛かりになる
URLと鍵マークを見れば必ず安全と分かる	誤り。似たドメイン、正規サイト侵害、HTTPS対応の偽サイトがある
URLを補助的に確認し、重要な操作は既知の正規経路から入り直す	適切

URLの目視で安全を証明しようとするのではなく、攻撃者が示したリンクを使わず、公式アプリ、登録済みブックマーク、既知の公式ドメインなどから入り直します。

6．BEC：メールや業務手続を悪用して送金させる

BECはBusiness Email Compromiseの略で、日本語ではビジネスメール詐欺と呼ばれます。

取引先、自社の経営者、上司、弁護士などを装った電子メールなどを用い、攻撃者が用意した口座へ送金させる詐欺です。

典型的な手口

取引先を装って振込先口座の変更を依頼する
経営者を装って極秘・緊急の送金を命じる
請求書や銀行口座証明書類を偽造する
正規メールアカウントへ侵入し、実際の取引の途中へ割り込む
メールの自動転送・振分け設定を改変し、やり取りを監視する
法律事務所や買収案件の関係者を装う
偽の電話や合成音声をメールと組み合わせる

BECは、単純な偽メールだけとは限りません。

正規のメールアカウントが侵害されている場合、次の情報も本物に見えます。

正しいメールアドレス
過去のやり取り
実際の請求額
担当者名
署名欄
取引時期

そのため、文面や差出人表示だけで判断できません。

BECとフィッシングの関係

フィッシングでは認証情報を盗むことが主目的となる場合があります。BECでは、業務上の送金・決済手続を欺いて金銭を振り込ませることが中心です。

ただし、攻撃者がフィッシングでメールアカウントを侵害し、その後BECを行うなど、複数の手口が組み合わされる場合があります。

7．BECへの対応：メールの外にある正規経路で確認する

急な振込先変更、決済手段の変更、緊急送金の依頼を受けた場合は、次の順で確認します。

メールだけで判断しない
メール本文・署名欄に記載された連絡先をそのまま使わない
以前から登録している正規連絡先へ電話・FAXなどで確認する
複数者承認・職務分離など、社内の送金手順に従う
不審なメールを情報セキュリティ担当部門へ報告する

なぜ返信では確認にならないのか

返信先が攻撃者のアドレスである可能性がある
正規メールアカウント自体が侵害されている可能性がある
攻撃者がメールを盗み見て、自然な回答を返す可能性がある
メール本文の電話番号が攻撃者のものかもしれない

攻撃者が用意又は支配している可能性がある経路の中で確認しても、本人確認にはなりません。

送金してしまった場合

直ちに利用した銀行へ連絡し、送金のキャンセル・組戻しを依頼する
組織内の責任者、法務、情報セキュリティ部門へ報告する
警察へ通報・相談する
メール、ヘッダー、ログ、請求書などの証拠を保全する
メールアカウントへの不正アクセスや転送設定を調査する
パスワード変更、セッション失効、多要素認証設定などを行う

資金を回収できるとは限らないため、発覚後は速やかに行動します。

8．ショルダーハッキング：画面・入力・書類を周囲から盗み見る

ショルダーハッキングは、画面、キーボード操作、書類などを背後や周囲から盗み見る手口です。

現行のSGシラバスVer.4.1には、この用語名自体の明示はありません。本記事では、対応問題の用語に合わせ、物理的な盗み見の事例として扱います。

英語ではShoulder Surfingと呼ばれることもあります。

盗み見られる情報

パスワード・PINコード
ワンタイムパスワード
顧客情報
会議資料
入退室コード
メール・チャット
画面に表示されたQRコード
ホワイトボードの内容

通信経路上のパケットを取得する盗聴とは異なり、物理的な視線やカメラを利用します。

対策

画面の向きに注意する
プライバシーフィルタを利用する
公共空間で重要情報を入力しない
周囲を確認する
書類やホワイトボードを放置しない
離席時に画面をロックする
カメラで撮影される可能性も考慮する

9．共連れ：正規利用者の入室に続いて未認証者が入る

共連れは、正規利用者が入退室認証を行った際に、認証を受けていない者がその後について制限区域へ入る行為です。

本教材では、対応問題の用語に合わせて「共連れ」と表記します。現行のSGシラバスVer.4.1には、この用語名自体の明示はありませんが、入退室管理は物理的セキュリティ対策の用語例に含まれます。

資料によっては、本人の協力・認識がある場合をピギーバック、気付かれずについて入る場合をテールゲーティングと区別することがあります。SG問題では、未認証者が正規利用者の通過に便乗して入室する行動を判断します。

利用される状況

配送員や保守作業員を装う
荷物を持って扉を開けてもらう
「カードを忘れた」と頼む
正規利用者の直後に近接して通過する
社員らしい服装や名札を見せる
親切心や礼儀を利用する

対策

一人ずつ通過させるセキュリティゲート
共連れ検知
有人受付
来訪者証の発行
入室者の目視確認
来訪者の同行
扉を開けたままにしない
不審者を直接追及せず、警備・管理担当へ連絡する手順

「見たことがある」「社員らしい」「荷物を持っていて困っている」という理由だけで通してはいけません。

10．スキャベンジング：廃棄物や残置物から情報を探す

スキャベンジングは、ごみ箱、廃棄書類、廃棄媒体、不要になった機器などから、攻撃に利用できる情報を探す手口です。「ごみあさり」と説明されることもあります。

現行のSGシラバスVer.4.1には、この用語名自体の明示はありません。本記事では、情報資産の廃棄管理や記憶媒体の安全な処分を理解するための補足例として扱います。

狙われるもの

印刷された顧客情報
組織図・内線番号表
ID・パスワードを書いたメモ
会議資料
配送伝票
廃棄した記録媒体
初期化が不十分なPC・スマートフォン
機器の設定情報
入館証・名札

対策

機密書類をシュレッダー処理・溶解処理する
廃棄物を施錠された場所で管理する
記録媒体を安全に消去・破壊する
廃棄事業者の取扱いを確認する
机上・プリンタ・会議室へ書類を放置しない
クリアデスクを徹底する
入館証・名札を適切に回収・廃棄する

11．不審な連絡・来訪を受けたときの共通手順

手口が異なっても、基本的な判断手順は共通化できます。

1．止まる

リンクを開かない
添付ファイルを実行しない
情報を入力・伝達しない
認証を承認しない
送金しない
未認証者を入室させない

2．相手が示した経路から離れる

メールへ返信しない
メッセージ内の電話番号へ連絡しない
リンク先で確認しない
相手が提示した名刺・連絡先だけを信用しない

3．既知の正規経路から入り直す

公式アプリ
登録済みブックマーク
社内ポータル
契約書・カード・連絡先一覧
以前から登録している取引先の電話番号
受付・警備・管理部門

4．別経路で確認する

本人・取引先へ電話する
上司や担当部門へ確認する
複数者承認を受ける
来訪予定・作業依頼を確認する

5．報告する

被害が発生していなくても、不審な連絡や来訪を報告します。

組織で情報を集約すれば、次の対応につながります。

同じ攻撃を受けた他の従業員への注意喚起
メール・URL・電話番号の遮断
アカウント侵害の調査
入退室記録の確認
取引先への連絡
手順・教育内容の改善

よくある取り違え

誤った理解	正しい整理
ソーシャルエンジニアリングは技術を一切使わない	人を欺くことが中心だが、メール、偽サイト、AI、マルウェアなどと組み合わされる
正規担当者を名乗ればワンタイムパスワードを伝えてよい	ワンタイムパスワードや認証承認を第三者へ渡さない
フィッシングは電子メールだけを使う	SMS、SNS、検索結果、QRコードなどの電子的な経路も利用される
SMSで届く不審連絡は全てスミッシングである	SMSを使って正規組織を装い、情報・金銭等を狙うフィッシングがスミッシング
スミッシングは検索結果を上位表示する手口である	それはSEOポイズニング
検索結果の最上位・広告なら公式サイトである	検索結果や広告も悪用される
URLや鍵マークを確認すれば必ず安全である	補助手段にすぎず、既知の正規経路から入り直す
BECは偽の差出人アドレスだけを使う	正規メールアカウントの侵害や実取引への割込みもある
BECはメールへ返信して確認すれば防げる	メール以外の信頼できる既知の連絡先で確認する
ショルダーハッキングは通信パケットの盗聴である	画面・入力・書類を物理的に盗み見る
共連れは入退室システムが故障した場合だけ起こる	正規利用者の通過へ未認証者が便乗する
社員らしく見える人なら入室させてよい	身元・来訪予定を正式な手順で確認する
廃棄した書類や機器は情報資産ではない	復元・判読できる情報が残っている可能性がある

科目Bでの判断手順

人の心理・習慣・物理行動を狙っているか

権威、緊急性、親切心、思込みを利用していればソーシャルエンジニアリングを疑います。

どの経路と目的が中心かを確認する

SMSで正規組織を装うならスミッシング、検索順位を操作して誘導するならSEOポイズニング、業務メールや取引手続を欺いて送金させるならBECです。検索広告や送金依頼という事実だけで名称を決めず、手口の中心を確認します。

何をさせようとしているか

情報入力、認証承認、送金、アプリ導入、入室などを確認します。

攻撃者が示した情報だけで確認していないか

メール本文の電話番号、リンク、返信先、表示名だけに依存してはいけません。

既知の正規経路へ戻っているか

公式アプリ、ブックマーク、登録済み連絡先、社内窓口を使用します。

URL確認を安全の証明にしていないか

URLは補助手段です。重要操作はリンクを使わず、正規経路から入り直します。

物理的な手口か

背後からの盗み見はショルダーハッキング、未認証者の便乗入室は共連れ、廃棄物の探索はスキャベンジングです。

個人だけで処理せず報告しているか

不審連絡・来訪を組織へ報告し、他の被害防止へつなげます。

まとめ

ソーシャルエンジニアリングは、人を欺いて情報、操作、金銭、アクセスを得る手口
権威、緊急性、不安、親切心、好奇心、業務上の慣れなどが利用される
電話、メール、SMS、SNS、対面、検索、物理的接近など、手段は限定されない
フィッシングは、正規組織を装って利用者を偽の電子的経路へ誘導する
スミッシングはSMSなどのテキストメッセージを使うフィッシング
SEOポイズニングは、検索順位を不正に高め、検索上位なら安全という思込みを利用する
URL・HTTPS・鍵マークの確認は補助手段であり、安全の保証ではない
重要な操作は、公式アプリ、登録済みブックマーク、既知の正規連絡先から行う
BECは、取引先・経営者などを装い、業務上の送金手続を悪用する
BECでは正規メールアカウントや実際の取引情報が悪用される場合がある
急な口座変更・送金依頼は、メール以外の信頼できる既知の連絡先で確認する
ショルダーハッキングは、画面・入力・書類を周囲から盗み見る手口
共連れは、正規利用者の入室へ未認証者が便乗する手口
スキャベンジングは、廃棄物・残置物から情報を探す手口
共通の判断手順は、止まる、相手の経路から離れる、正規経路から入り直す、別経路で確認する、報告する
被害がなくても報告することで、同じ攻撃を受けた他の従業員の被害防止につながる

C1-T05：標的型攻撃
C1-T08：パスワードへの攻撃
C1-T09：ネットワーク・通信への攻撃
C1-T10：Webアプリケーションへの攻撃
C1-T12：AIと攻撃
C5-T05：物理的対策
C5-T11：セキュアプロトコルと実装技術
C7-T07：情報セキュリティ教育と訓練

参考資料・基準日

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
IPA「ビジネスメール詐欺（BEC）対策」（特設ページ。2026年8月7日参照）
警察庁「フィッシング対策」
NIST「Computer Security Resource Center (CSRC) Glossary」（2026年8月7日参照）

記事最終確認日：2026年8月7日