サイバー犯罪者はセキュリティの質問をどう突破する？4つの手口と対策を徹底解説

多くのウェブサイトやアプリは、初回登録時にセキュリティの質問を設定させます。そして、パスワードを紛失した際の再設定などで本人確認にその回答が使われます。しかし、サイバー攻撃者はしばしば、これらの質問を巧妙にすり抜ける方法を見つけ出します。

彼らはどのようにして秘密の答えを暴き、アカウントへのアクセス権を手に入れるのでしょうか？本記事では、サイバー犯罪者がセキュリティの質問を回避する代表的な4つの手口と、それへの効果的な対策を詳しく解説します。

1. SNSを利用した詐欺

ソーシャルメディアのネガティブな側面の一つは、「相手が本当に実在の人物か判別しにくい」という点です。サイバー犯罪者がSNSを悪用し、被害者からセキュリティの質問への回答を引き出すのは決して珍しいことではありません。

ハッカーがよく使う手口は、FacebookやLinkedIn、Instagram、X（旧Twitter）などのプラットフォームで、被害者の友人やフォロワーになりすますことです。心理的な操作、いわゆるソーシャルエンジニアリングを駆使して、被害者に「信頼できる人物」と思わせ込むのです。

ターゲットとSNS上で友達になった攻撃者は、まずチャットを始め、自分自身について偽の情報を先に開示して信頼を勝ち取ろうとします。マッチングアプリの詐欺に似た構図で、被害者の興味や好みに関する会話を重ねて距離を縮めていきます。

中には、被害者と同じ趣味や好みを共有しているふりをする攻撃者もいます。そうなると被害者は気づかないうちに秘密情報を共有してしまうことがあり、そこにはセキュリティの質問への回答が含まれている可能性があります。対象は職場のリソースへのアクセス用のものから、オンラインショッピングなど機密性の高い取引用のものまで多岐にわたります。

2. フィッシング

フィッシングとソーシャルエンジニアリングは密接に関係しています。フィッシングとは、ハッカーが別人になりすます（偽のペルソナを装う）ことで成立する攻撃です。たとえば攻撃者は、電話・SMS・メールなどを通じて、「あなたがアカウントを持つ企業の担当者である」と告げてくるかもしれません。

「セキュリティ強化のため、期限以内にいくつかの質問にお答えください」と求めてきたり、オンラインフォームへのリンクを送りつけてきたりすることもあります。そのリンク先の多くは、あなたが利用している正規サイトの精巧な偽物です。さらに、「調査を実施している」と装い、Googleフォームやオンラインアンケートへの記入を依頼するケースさえ存在します。

ハッカーはこの手法で、セキュリティ意識の低い層を狙うことが少なくありません。必要な情報を一度入手できれば、セキュリティの質問を回避してターゲットのアカウントを自由に操ることは容易になります。

3. オンラインプロフィールからの情報収集

セキュリティの質問は「自分だけが知っているはずのプライベートな情報」ですが、実はインターネット上に答えの手がかりを大量に残している人が少なくありません。SNSのプロフィールに機密性の高い個人情報を頻繁に投稿していれば、ハッカーは驚くほど簡単に答えを推測できてしまいます。

この手法では、ハッカーがオンライン上で徹底的な調査（オープンソースインテリジェンス調査）を行います。Googleなどの検索エンジンでターゲットを検索し、LinkedIn、Facebook、X、Instagramなどの各種SNSアカウントから、集められる限りのヒントを拾い集めます。

たとえば、Facebookで「母親の旧姓＋最初の飼ったペットの名前」を組み合わせる冗談めいた質問に答えたことはありませんか？　一見無害な遊びに見えますが、それはサイバー犯罪者にとって極めて有用な情報です。

十分な情報を集めた攻撃者は、改めてセキュリティの質問に向き合い、公開プロフィールから入手したデータをもとに回答を導き出します。

4. ブルートフォース攻撃（総当たり攻撃）

ハッカーは通常、パスワードを破るためにブルートフォース攻撃を用いますが、セキュリティの質問に対しても同じ手法を適用する障害はほとんどありません。手作業での総当たりには時間と忍耐が必要ですが、現代の自動化されたアルゴリズムはこのプロセスを大幅に簡素化しました。

さらに、セキュリティの質問を破解する場合、攻撃者が扱うのは文字レベルの組み合わせではなく「単語の組み合わせ」だけです。異なる単語を組み合わせるだけで意味のある回答を作りやすい分、パスワードの解析よりも格段に容易になります。

しかも、ハッカーがあるサイトがどんな質問を用意しているかを把握していれば、あとは被害者固有の考えられる全回答を総当たりするだけです。「ユーザーが独自の質問を設定できるサイトなら安全では？」と思うかもしれませんが、実際は逆です。ユーザー生成の質問は往々にして安全性が低く、回答も推測されやすい傾向があります。

セキュリティの質問を守るための3つの対策

ここまで、サイバー攻撃者がセキュリティの質問を回避してアカウントに侵入する手口を見てきました。では、オンライン上で身を守るにはどうすればよいのでしょうか？　以下のポイントが役立ちます。

1. 二要素認証（2FA）を有効にする

ハッカーは二要素認証も回避できることがありますが、セキュリティの質問よりも破解には高度な技術が必要です。さらに、両方を組み合わせればアカウント保護は一段と強固になります。複数の防御策が重なると、攻撃者ははるかに複雑な課題に直面し、早々に諦める傾向があります。

利用中のサービスが両方の方式に対応していれば理想的ですが、対応していない場合でも、サードパーティ製の認証アプリ（Google AuthenticatorやAuthyなど）は多数存在します。

2. 一般的な質問・回答を避ける

多くのセキュリティの質問が推測されやすいのは、利用者がありきたりの回答を入力しがちだからです。ウェブサイトやアプリが独自の質問作成を許している場合、この問題はさらに深刻になります。

趣味、好きな色、ペットの名前、好きな映画・音楽・食べ物といった質問への回答は、比較的簡単に推測されるため避けるべきです。「母親の旧姓」など具体的な質問に対しても、実際の答えではなく、自分だけが連想できる別の言葉を登録する工夫が有効です。

独自の回答だと忘れてしまいそうな場合は、暗号化機能付きのパスワード管理ツールやノートアプリに記録しておき、必要なときに参照できるようにしておきましょう。

3. プロフィールから機密情報を削除する

SNSなどのオンラインプロフィール上の個人情報は、セキュリティの質問への回答を推測する手がかりになります。セキュリティ侵害を防ぐためにも、生年月日、出身校、家族構成といった重要な情報はプロフィールから削除するのが賢明です。そもそも、SNSで拡散される冗談めいた質問に答えて、得られるものは何でしょうか？

まとめ：オンライン上の情報をしっかり守ろう

二要素認証と同様に、セキュリティの質問もオンラインアカウントにさらなる保護層を追加する仕組みです。パスワード再設定リンクを発行する前に質問を求めるサービスもあれば、再設定後に確認するサービスもあります。いずれも、アカウントをより強固に守ることを目的としています。

いずれの場合も、セキュリティの質問のような第二の防御壁は、ハッカーがあなたのアカウントへ侵入しようとするときに立ちはだかる関門です。そして、その防御力を左右するのは、私たち一人ひとりのインターネットの使い方なのです。