# ソーシャルエンジニアリングとフィッシング ## 定義 ソーシャルエンジニアリングは、人を騙して情報を漏らさせたり不正な行動を取らせたりする攻撃手法の総称であり、フィッシングはその主要な現代的形態として、正規のサイトを装った電子メールで被害者をおびき出しパスワードを盗む、あるいはマルウェアを仕込ませる手口を指す。本ページは、この現象を**なぜ人はだまされるのか**という心理学・ユーザビリティの軸から扱う(誰が・どんな動機で運用するかという攻撃者側の軸は [[敵対者の類型論]] を参照)。 その心理的基盤は社会心理学の欺瞞研究(social-brain theory of deception)にある。人類が大脳を発達させたのは道具製作のためではなく他個体を出し抜き・見抜くための社会的知性のためだったとする社会的知性仮説(Nick Humphrey)・マキャベリ的知能仮説(Andy Whiten)が出発点であり、そこから「心の理論(theory of mind)」・自己欺瞞・意図の検知・社会的動機づけによる推論という複数の派生スレッドが伸びる。説得の技法としては、Robert Cialdini が体系化した6原則(返報性・一貫性・社会的証明・好意・権威・希少性)と、Frank Stajano と Paul Wilson が『The Real Hustle』の数百件の詐欺実演から抽出した7原則(注意逸らし・社会的迎合・群れの原理・不正直さ・親切心・欲得・時間的圧力)がほぼ重なり合う形で存在し、詐欺・マーケティング・フィッシングを貫く共通の技法であることを示す。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 3 Psychology and Usability]] §3.2.4, §3.3, §3.3.1) ## 横断的知見 - **第3章が描く心理的技法(欺瞞・説得の原則)は、第2章(敵対者の類型論)が示す通り、特定の敵対者類型に固有ではなく、諜報・犯罪双方の実務で使い回される汎用ツールである**: 第2章は、中国の国家主体がスピアフィッシング(同僚を装ったメールの添付PDF経由でチベット亡命政権のPCの大半を侵入・遠隔操作)によって諜報目的を達成した事例(Snooping Dragon)や、UAE がソーシャルエンジニアリングで英国人大学院生を騙してスパイウェアをインストールさせた事例を挙げる一方、犯罪側では標的型攻撃の請負業者(hack-for-hire)がスピアフィッシングを標的1件あたり約750ドルで商品化し、ビジネスメール詐欺(business email compromise)でも同じ技法が金銭目的に転用されていることを示す。第3章がなぜ人はだまされるのかという心理的基盤(社会的知性仮説、Cialdini・Stajano-Wilson の説得原則)を描くのに対し、第2章は誰が・どんな動機でこの技法を運用するかを描き、両者を突き合わせると「技法そのものは単一だが、運用主体の動機(諜報 vs 金銭)によって標的の選び方・スケールのさせ方が変わる」という構図が見える。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 3 Psychology and Usability]] §3.2.4, §3.3, [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] §2.2.2, §2.2.4, §2.3.1.5, §2.3.2) ## 未解決の問い - フィッシング対策としての「顧客教育(URLを確認する、ロックアイコンを見る、リンクではなくブックマークを使う等)」は、対策が広まるたびにフィッシャーが手口を更新するいたちごっこに終始してきたと本章は指摘する(§3.4.4.6)。教育に依存しない設計(安全な既定値)へ完全に移行した実例はどの程度存在するか。 - 権威への服従(Milgram)・傍観者効果(Darley と Latané)のような1960〜70年代の実験知見は、対面状況を前提にしている。オンラインでの匿名的・非同期的なやり取りにおいて、これらの効果がどう修飾されるかは、本章のオンライン脱抑制(online disinhibition)の議論で部分的に触れられるのみで、体系的には論じられていない。 - Cialdini の6原則と Stajano・Wilson の7原則の対応関係は本章で示唆されるにとどまり、両者がどこまで独立した分類なのか、あるいは片方が他方の部分集合なのかは、原典に遡る検証が必要である。 - 第2章が示すスピアフィッシングの実務データ(請負価格750ドル、国家による標的選定の基準)が、第3章の心理学的原則(Cialdini・Stajano-Wilson)のどれに主に依拠しているかは、本書内では明示的に接続されていない。攻撃者側の実務(価格・成功率・標的選定)と心理学側の理論的原則を実証的に結びつける研究はあるか。 ## 関連 - 章: [[@2020__Wiley__Security Engineering 3e - Chapter 3 Psychology and Usability]] / [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] - 概念: [[敵対者の類型論]] — 誰が・どんな動機でこの技法を運用するかの類型 ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 3, §3.2.4, §3.3–§3.3.5; Chapter 2, §2.2.2, §2.2.4, §2.3.1.5, §2.3.2.