ネットワークセキュリティ入門

攻撃方法から学ぶ、自己防衛の方針

last update 2000/9/3

簡易的な攻撃方法の分類

ソーシャルエンジニアリング

 最後は、少しだけコンピュータから離れた攻撃を考えてみよう。攻撃前段階のところで少し触れた、ソーシャルエンジニアリングである。

 具体例として、こんなものはどうだろうか。

 攻撃者は、対象コンピュータの管理者に一本のメールを打つ。既に、管理者が有名なセキュリティコンサルタント会社と契約している事を調べているとする。当然メールアドレスの発信元は攻撃者のコンピュータではなく、コンサルタント会社のアドレスに詐称されている。

 メールの内容は、こういったものだ。「御社仕様のコンピュータのプログラムにセキュリティホールが見つかりました。添付したファイルを使ってアップデートしてください。」管理者は、了解、と言って添付ファイルでアップデートしてくれる。ソーシャルエンジニアリング成功の瞬間だ。

 そのプログラムはトロイの木馬、つまり、うまく動く(便利な機能)に見せかけて実際は全く違う動作をするプログラムのことだ。動作は、例えば攻撃者のコンピュータに、ディスクのデータをすべて送付してしまう、などというのはいかがだろう。

 そんなバカな人間はいない、等とは言わないで欲しい。事実、microsoft社のサポートと称してこのような攻撃をした例があり、けっこうな人数の被害が出ているのだ。つまり、しっかりひっかかったのだ。

 防御は、だから簡単である。ひっかからない。疑ってかかる。これに尽きる。

   
前に戻る目次に戻る次に進む