ソーシャルエンジニアリング攻撃とは?テイルゲーティングの仕組みと種類を徹底解説

さまざまな調査によると、データ漏洩やサイバー攻撃の95%は「人為的ミス」が主な原因とされています。この事実を踏まえると、企業セキュリティにとって最大の脅威は技術ではなく「人間の心理」であると言っても過言ではありません。

豆知識: 世界経済フォーラムによると、史上初のサイバー攻撃は1988年、著名な暗号学者の息子であるロバート・タッパン・モリスによって検出されました。それ以来、オンライン攻撃は年々巧妙化・多様化しています。

そこで本記事では、ソーシャルエンジニアリング攻撃の概要と、その中でも特に被害が増えている「テイルゲーティング」攻撃の仕組みについて詳しく解説します。

ソーシャルエンジニアリング攻撃とは?

ソーシャルエンジニアリングは包括的な用語であり、フィッシング詐欺、プリテキスティング(口実を使った詐欺)、ベイティング(おびき寄せ)、クイド・プロ・クオ(利益の交換)、そして近年猛威を振るうテイルゲーティングといった悪意ある活動すべてを指します。

サイバー犯罪者は人間の心理につけ込み、被害者を巧みに騙して個人情報を入手したり、立入禁止区域のセキュリティを突破したりします。そのため、ソーシャルエンジニアリング攻撃は最も悪質な攻撃の一つとされており、防御の第一線である従業員こそが最も脆弱な存在となります。うっかりしたクリック一つで、企業に数万ドル規模の損害をもたらしかねません。

ソーシャルエンジニアリング攻撃への対策としては、Windows環境であれば信頼できるウイルス対策ソフトを導入しておくことも有効です。

総合的な保護におすすめのウイルス対策ソフト

Systweak Antivirusは、Windowsシステムをあらゆる種類の脅威から守るセキュリティツールです。システム最適化やクリーニングツールで知られるSystweak社が開発しており、ウイルス・マルウェア・スパイウェアからの保護に加え、優れたエクスプロイト保護機能を備え、脅威をリアルタイムで検知します。スタートアップ項目の脅威スキャンやUSBメモリの保護など、多彩な機能も特徴です。詳細やダウンロードは公式サイトをご確認ください。

テイルゲーティング攻撃とは?

テイルゲーティング攻撃とは、電子アクセス制御システムで管理された制限区域に、攻撃者が不正に侵入しようとする攻撃手法です。多くの場合、攻撃者は配達員やドライバーなどを装って建物の外で待ち伏せし、アクセス権を持つ従業員がドアを開けた瞬間に「ドアを押さえてほしい」と頼み、正規の人物に紛れて侵入します。

ただし、この手口は毎回成功するとは限りません。大規模な組織ではRFIDカードが導入されているためです。そこで攻撃者は、入場者のすぐ後ろに密着してついていくことでセキュリティを回避します。いずれの手口も、最終的な目的は施設への物理的アクセスの獲得です。

さらに、攻撃者は偽のIDカードを作成したり、従業員になりすましてランチエリアや喫煙スペースで親しくなり、カードを盗んで複製する瞬間を狙ったりすることもあります。

簡単にまとめると、テイルゲーティングとは、不正な人物が被害者を騙したり心理的に操作したりすることで、組織の敷地内へ侵入する典型的なセキュリティ侵害です。「ピギーバッキング攻撃(piggybacking)」とも呼ばれます。実はハッカーだけでなく、会議からの離脱や勤務時間の制限回避のために、従業員自身が利用するケースもあるのです。

ピギーバッキングは組織に深刻な損害をもたらします。ある調査では、テイルゲーティング攻撃による損失が15万ドル以上に上った事例が確認されています。

テイルゲーティング攻撃の目的は常に、悪意のある用途のために個人情報を盗み出すことにあります。

テイルゲーティング攻撃を防ぐには?

近年、組織はファイアウォールやネットワークセキュリティなどのオンライン対策にリソースを投入するあまり、物理的な侵入への備えをおろそかにしがちです。サイバー犯罪者から組織を完全に守るには、物理攻撃にも目を光らせるとともに、攻撃者の視点に立って悪用されうる脆弱性を考えることが重要です。以下のポイントを徹底しましょう。

• 自分の後ろに誰がいるか、誰のためにドアを開けているのかを常に意識する。特に制限エリアでは要注意。
• 周囲の人々に気を配り、見慣れない人物がセキュリティをすり抜けようとしていたら警備部門に通報する。
• 礼儀は大切だが、スマートカードが必要なドアでは安易に開けて持つことをしない。制限区域につながるドアは絶対に押さえておかない。
• 敷地内や制限区域に不審者がいたら、声をかけて正しい場所まで案内する。
• 個人情報やセキュリティアクセス権を共有する相手には細心の注意を払う。
• 作業席を離れる際は、必ずPCやデバイスをロックする。
• 書面による許可がない限り、見知らぬ人を制限区域内に入れない。
• 配達員などが保護区域へのアクセスを求めてきても、決して許可しない。
• 敷地内ではアクセスカードやIDカードを必ず身に付け、紛失や貸し借りを防ぐ。
• USBメモリやメモリーカードなどの外部デバイスは、内容を確認せずにPCへ接続しない。

これらのポイントを実践することで、テイルゲーティングをはじめとするソーシャルエンジニアリング攻撃から組織を守ることができます。ショルダーサーフィン(肩越しの覗き見)やフィッシングなど、他の攻撃手法への警戒も併せて怠らないようにしましょう。Systweak Antivirusのような適切なセキュリティソリューションと人的対策を組み合わせれば、システムとデータを様々な脅威から保護できます。

テイルゲーティングを経験したことはありますか?あるいはその試みを目撃したことはありますか?あなたが取った対策を、ぜひコメントでお聞かせください。