【情報セキュリティ】巧妙な「口実」で騙すソーシャルエンジニアリング！「プリテキスティング」｜情報処理問題1000本ノック
セキュリティシステムをいくら強固にしても、人間の「うっかり」を突かれてしまえば元も子もありません。言葉巧みに架空の状況を作り出し、ターゲットから自発的に機密情報を引き出す心理攻撃「プリテキスティング」を攻略しましょう。
1. 【 問題 】：情報セキュリティ（ソーシャルエンジニアリングの手法）
【 問題 】 ソーシャルエンジニアリング（人間の心理的な隙を突く攻撃）の手法の一つです。攻撃者があらかじめ「社内のITサポート担当者」や「役員」「取引先の監査人」などの架空のキャラクターや設定（口実）を作り込み、電話やメールでターゲットに接触して、「今すぐ確認しないとシステムが停止する」といった架空のシナリオを信じ込ませることで、パスワードや重要な組織情報を自発的に開示させる攻撃手法を何と呼ぶでしょうか？
① ショルダーハッキング（肩越し盗み見）
② スカベンジング（ゴミ箱漁り）
③ トラッシング（不要物探索）
④ プリテキスティング（口実攻撃）
2. 正解：
正解： ④ プリテキスティング（口実攻撃）
3. 解説：作り込まれた「設定」で相手を信じ込ませる
プリテキスティング（Pretexting）の語源は、英語の「pretext（口実、言い訳）」です。ただ「パスワードを教えてください」と怪しく頼むのではなく、「現在、システム障害が発生しており、復旧のためにお客様のアカウントデータを確認する必要があります」といった綿密なストーリー（架空のシナリオ）を用意して、相手が疑う余地を無くしてから情報を盗み出すのが特徴です。
| 手法名 | 攻撃の具体的なアプローチ | 対策（防御側） |
|---|---|---|
| ① ショルダーハッキング | PCの操作画面やATMの暗証番号入力を、文字通り「後ろから盗み見る」手法。 | 画面フィルターの装着、周囲の確認 |
| ②、③ スカベンジング（トラッシング） | オフィスのゴミ箱から、廃棄された書類やメモを拾い集めて情報を盗む手法。 | シュレッダーの徹底、メディアの物理破壊 |
| ④ プリテキスティング | 偽の「口実・シナリオ」を作って、会話やメールで情報を引き出す手法。 | 身元確認の徹底、情報開示ルールの厳格化 |
1. 理解のコツ: 日常生活の「オレオレ詐欺（特殊詐欺）」を想像してください。
・ただ見知らぬ人から電話がかかってきて「お金を振り込んで」と言われても誰も応じません。しかし、「警察官」や「銀行員」になりすまし、「あなたのアカウントが犯罪に悪用されています。今すぐ手続きしないと口座が凍結されます」という『架空のシナリオ』を突きつけられると、人はパニックになり、相手を信じてしまいますよね。
・ビジネスの世界におけるプリテキスティングも全く同じです。攻撃者は事前にSNS等でその企業の組織図や上司の名前を調べ、本物そっくりの設定を作り込んでから電話をかけてきます。電話を受けた社員は「本当にうちのIT部の人なんだ」と信じ込んで、自らパスワードや顧客情報を口頭で喋ってしまうのです。この『騙すための事前の設定（口実）作り』がプリテキスティングの核心です。
2. 試験対策の視点: 午前試験のセキュリティ（ソーシャルエンジニアリング）分野では、問題文の中に「架空のシナリオ」「口実」「身元を偽って情報を引き出す」というキーワードがあれば、迷わずプリテキスティングを選択してください。
他のソーシャルエンジニアリング（ショルダーハッキングや物理的な盗み見、ゴミ箱漁り）は「物理的な行動」を伴うのに対し、プリテキスティングは「人間の心理や会話のやり取り（シナリオ）」を伴う点で明確に区別できます。また、システム的な防御（ファイアウォールなど）が一切通用しない攻撃であるため、対策としては「電話口でパスワードを教えないという社内ルールの徹底」や「一度電話を切り、社内名簿の番号へかけ直して相手の身元を確かめる（コールバック）」といった、人間の運用ルールの教育が最重要となる点も試験でよく狙われます。
4. まとめ
「ITサポートや役員などになりすまし、綿密に作り込まれた架空のシナリオ（口実）を用いて、ターゲットからパスワードや機密情報を騙し取る手法」。これがプリテキスティングです。システムを介さないソーシャルエンジニアリングの脅威として、言葉の意味をしっかり記憶に定着させておきましょう！