ソーシャルエンジアリングとは例えばパスワードを入力しているところを横から盗み見するような行動です。システム管理者と話をしながら、いろいろなことを聞き出す行為や、盗み聞き、盗み見など社会的（ソーシャル）な手段によって重要な情報を入手することをいいます。入手したパスワードなどを使ってシステムに侵入し、情報を盗みます。情報を盗み出すためにウイルス感染させようと思ってもセキュリティ対策がしっかりしている企業にネットワーク経由でウイルスメールを送っても効果はありません。ネットワークなどの情報通信技術を使ってもダメなので、人間の心理的な隙や行動のミスにつけ込んで情報を盗み出します。これがソーシャルエンジニアリングです。

オフィスにUSBメモリーが落ちていたらあなたはどうしますか？

例えばオフィスの机の間にUSBメモリーが落ちていたら、あなたはどう行動しますか？　“誰がUSBメモリーを落としたんだろう。しょうがないなあ。”とUSBメモリーの中身を確認しようとしませんか。パソコンにUSBメモリーをつないだ時点でウイルスに感染してアウトです。実際には何も起きませんので当事者にはウイルス感染したことが分かりませんが、静かに社内ネットワークを通じて蔓延していきます。

最近はセキュリティがしっかりとしたオフィスビルもたくさんあり、IDカードを通さないと入退室できないオフィスが増えています。そんな場合も大丈夫。社員の駐車場にUSBメモリーを落しておけばオフィスに落としたのと同じことがおきます。

イランの核施設の機密もソーシャルエンジアリングで漏れた！

ソーシャルエンジアリングは古典的な方法ですが、万国に通じて、実に効果的です。イランが自国の核関連施設で高濃縮ウランの製造をおこなったため、各国が経済封鎖を実施しました。最近になってイラン大統領が変わったこともあり、ようやく核協議が最終合意に達し、経済封鎖解除の動きになっています。

2009年頃、アメリカとイスラエルがイランの核施設を破壊するために遠心分離機を止めるコマンドを出せるウイルスを開発しました。当然、イラン側も施設のネットワークがサイバー攻撃を受ける危険性が分かっているため、外部とのネットワークとは隔離していました。施設への入退室も簡単にできませんし、エンジニアたちはサイバー攻撃のセキュリティ教育を受けています。

どうやって閉ざされたネットワークにウイルス感染させるかが課題になりましたが、この時に思いついたのが“自分が持っているUSBメモリーについてあまり考えない人間はわりといるものだ”という真理です。さすがに国家機密なので詳しいことは分かりませんが、どうもソーシャルエンジニアリングの手法が使われたようです。

USBメモリーを通じて、技術者の持っているノートパソコンに感染させ、システム管理者にはすべてが正常に稼動しているように見せかけながら、そのすきにウイルスを蔓延させ、核施設の一部を機能停止させました。一説には8,400台の遠心分離器が止まったと言われています。

【教訓】　拾ったUSBメモリーはノートパソコンにささない

皆さん、出所のわからないツールなどの取り扱いには、十分注意してください！