必須アイテムとなっているインターネットを利用している以上、「たまにはこーゆー話を聞いて欲しい」

ただそれだけです。

知ったからといって、正直、完全完璧な対策が身につく内容ではありませんが、何事も、何も知らないよりは、話を少しでも聞いたことがある方が、いいですよね (^^)

ということで、よろしくお願いしますm(_ _)m

先日、セキュリテイーについての無料セミナーに参加してきたのですが、

話の中には、

• なかなかゾッとするような話
• こんなことさらたら、お手上げだわ

という話が、チラホラありました。

セミナーの内容の転載・SNSへの発信はNGと冒頭に注意されましたが、

おそらく、私判断でですが、

差し支えない範囲だろうという感じで、

「ソーシャルハッキング」

という言葉についてお伝えしたいと思います。

「ソーシャルハッキング」という攻撃手口。正直、悪意のかたまり行為で、ターゲットにされたらお手上げという印象を受けました

ちなみに、ソーシャルハッキングとは？

まぁ、ぐぐれや（笑）

「ソーシャルハッキングとは」

 

と、このブログ記事のタイトル的に、ググらせるのもおかしな話ですがね (^^;)

以下、上記リンクで表示される、Google検索結果より抜粋です。

 

ユーザーIDやパスワードを盗み出すのに、技術的な手段を利用せず、直接本人の口から聞き出す、タイプ内容を盗み見る、書類やメモを入手する、といった手段を利用する行為。 盗み見た上司のパスワードを使って情報を盗む組織内犯罪や、掃除夫などを装ってオフィスに侵入する手口等がある。

上記のような意味の攻撃手口のことをさす言葉が「ソーシャルハッキング」です。

と、まぁ、セオリー通りにお固く説明するとこんな内容のようですが、正直、「わかるような、、、わっかんねぇな」っていう説明ですよね。

例えばということで、この話を聞いていただけると、よりわかりやすいんじゃないかなと思います (^^)

例）採用担当者様とメールのやり取りを行い、自然と添付ファイルを開かせる ”流れ” を作り出し、ウイルスに感染させる方法

1. 攻撃する人は、機密情報を入手したい企業選びます
2. さらに、その企業とやりとりがあるような企業を選びます
3. （2）で選んだ企業の、求人情報を調べます
4. 調べた求人情報から、採用担当者様のメールアドレスを入手します（開示されている情報ですので、いたって問題ない情報の入手方法です）
5. メールのやり取りを開始します
6. メールやり取りの流れで、「私の実績についてまとめた資料があるので見ていただきたい」と言った感じで、自然と添付ファイル付きのメールを送る状況を作ります
7. ウイルス感染をする添付ファイルを、採用担当者様に送りつけます
8. 採用担当者様は、送られてきた添付ファイルを、何の疑いもなく開いてしまいます
9. ……The END

こんな感じです。

ものすごい、怖い話ですよね。

このようにして、「何も問題ないようなやりとりを行い、相手から自然と情報を盗み取る」という攻撃手口です。

ある意味、わりと”どうどう”と侵入してきます。

「バレないように、こっそり侵入して、情報を盗みとっていく」わけではないのです。

意外と重要なのが、上記の例に記載したうちの「2」の内容です。

大企業じゃなくても、ターゲットにされるのです。

ウイルス感染させた中小企業のパソコンが、大企業とやりとりを行ってくれれば、そのやりとりの内容を、感染させたウイルスで盗み取ることができます。

大企業は、セキュリティー対策に費用をかけられるので、直接攻撃をしてウイルス感染させるのが難しいようです。

ですので、むしろ、中小企業を踏み台にして、間接的に攻撃試みる方法の方が狙い所のようです。

攻撃のターゲットにされて、こんなやり方で攻撃されたら、正直お手上げですよ……。

社内のパソコン管理の実質の責任者をやっていますので、セキュリティー関連の対策の責任者も私です。

そんな人間が、「お手上げ」なんて言っていいのかは、なんとも言えないところですが、

正直、実際のところ、責任者と言ってもこんなものですよ。

と、私は思っています。

なので、とにかく「気をつける」ということを忘れない。

それしかないわけです!!

「お手上げ」という言葉を使いましたが、「気をつける」ことで、対策が可能ではあります!!

安心してください。

と言っても、なかなか結局「気をつけるしかない!!」という話なので、

簡単な対策ではありませんが。

例えば、上記の例の場合。

自然なやりとりな流れを作り出され、ウイルス感染する添付ファイルを開かされるわけですが、

この添付ファイル、開く前によく見れば、

「あれ、もしかして、このファイルあやしいんじゃないかな？」

ということに、気づくことができます。

また例えばの話になりますが、

添付されたファイルが、ワードファイルだったとしましょう。

もしくは、圧縮ファイルが添付されていて、解凍したところ、ワードファイルだったとしましょう。

（圧縮ファイルを解凍した時点で、大丈夫なのかが、私もまだ把握しきれていないのですが。。。）

しかし、一見ワードファイルに見えて、よく見るとワードファイルではない場合があります。

ファイルのアイコンは、ワードファイルのアイコンなのですが、

ファイルの拡張子が「.doc」や「.docx」といった正規のものではなく、「.exe」になっていることがあります。

これは、完全に開いてはいけないワードファイルです。

仮に、この「.exe」ファイルを開いたとします。

そうすると、ちゃんとワードファイルが開かれるように、仕込まれています。

たちの悪いことに、巧妙な攻撃手口ですから、「よく見ないでファイルを開いたところで、ファイルの拡張子が違うことに気づきづらい」ようになっているわけです。

ですので、とにかく「よく見て、気をつける!!」

ホント、対策方法は、これしかないです!!

だから、採用担当者の方は、メールアドレスを載せない方がいいとか、

添付ファイルを受け付けてはいけないとか、そういった話をしているわけではありませんので、

上記の例を読んで、勘違いはしないでいただければと思いますm(_ _)m

「怪しむ・気をつける」という側面を持っているかどうかが大事です

あやしんだところで、やりとりの流れ的に開かないといけないので、結果ウイルスに感染してしまう。

よく見て、気をつけても意味がないではないか!!

と、思ってしまう人もいるかもしれませんね。

私も、それは一理あるとは思います。

しかし、結果ウイルス感染させてしまったとしても、

「怪しむ・気をつける」という側面を持っていたか。

という事が大事だと思います。

「勢いでよく見ないでやってしまった」とならないよう、

急いでいる時にこそ、気をつけて確認するように、心がけてみてください (>ω<)

まぁ、時には「勢い」も大事ですがね♪

サポートは以上です

内容に対して何かありましたら（間違いとか）、kawasaki@sksp.co.jp までご連絡いただけると幸いです。