【注意】本当のハッカーにパソコンはいらない ー機密情報の盗み方ー

ハッキングとは情報技術を悪用して迷惑行為や犯罪を行うことを言います。また、こういった事を行う技術者のことを「ハッカー」と言います。

ハッカーは「ソーシャル・エンジニアリング」と呼ばれる方法を使うことで、パソコンを使わずにIDやパスワードなどの機密情報を盗み出すこともできます。「ソーシャルエンジニアリング」は、狭義ではシステムの管理者や関係者に心理的なアプローチを行うことで機密情報を盗み出すことを言い、広義では、ゴミ箱をあさる、モニターに貼り付けられたパスワードを一瞬で記憶するなど技術的な方法によらず機密情報を盗み出す方法一般を言います。

具体的には下記のような手口があります。

スキャベンジング

標的の使うゴミ箱をあさり、捨てられたメモや付箋などから機密情報を拾い出す方法です。同僚のゴミ箱を調べるような簡単な方法から、清掃員になりすまして組織的に情報を収集する大規模なものもあります。機密書類をゴミ箱に捨てるする前にシュレッダーにかけるなどの処理を義務付けることで被害を予防することができます。

ショルダーサーフィン

標的がキャッシュカードやクレジットカードを利用する際に、肩越しに手元を覗きこむことで暗証番号を盗みます。昨今では、ATMの暗証番号の入力キーにカバー設置される・縁に鏡が設置されるなどの対策が施されています。

フィッシング詐欺

標的に対して嘘の案内の書かれたメールを送信し、偽のWebサイトに誘導します。偽のWebサイト上でクレジットカード番号、ID、パスワードを盗み出します。フッシング詐欺の被害はすでに社会問題となっており、セキュリテュソフトメーカー、ウェブプロバイダー、メールサービスの運営事業者などが対策に取り組んでいます。

なりすまし

標的の組織内に実在する人物や、取引先の関係者などを装い機密情報を盗み出す方法です。あらかじめ標的となる組織の構成や所属する人物を調べあげ、その人物を名乗って電話するなどの方法でコンタクトをとります。その上で担当者のメールアドレスや電話番号、場合によってはログイン情報などを聞き出します。通常であればこれらの情報を聞き出すことはできませんが、外国人になりすまし英語で電話をする、電話をとった相手が普段関わらない取引先を装う、などのテクニックを駆使することで機密情報を盗み出す事ができる場合があります。

いかにもローテクな方法ですが、これらの手口はすべて実際に使われたことがあり、本当のハッカーは、技術的なアプローチと心理的なアプローチの両方を利用することで機密情報を盗むことができます。