日常に潜むサイバー攻撃 ― フィッシング詐欺とソーシャルエンジニアリング

2026.08.26 IT

サイバー攻撃と聞くと、企業や政府が狙われるニュースを思い浮かべるかもしれません。しかし、個人のスマートフォンやパソコンも日常的に攻撃の対象になっています。

攻撃者にとって、セキュリティ対策が整った企業システムを破るよりも、個人を騙すほうが手間がかかりません。この記事では、個人が遭遇しやすい2つの攻撃手法を紹介し、それぞれの対策を整理します。

フィッシング詐欺

フィッシング詐欺は、本物そっくりの偽サイトや偽メールを使って、パスワードやクレジットカード番号などの情報を入力させる手口です。英語では「phishing」と書きます。魚釣り（fishing）のように、餌をまいて引っかかるのを待つ手法であることが名前の由来です。

攻撃者はまず、銀行・通販サイト・配送業者など、多くの人が使っているサービスの見た目をそっくりコピーした偽サイトを用意します。偽サイトをパソコンで作ってみようで紹介したとおり、Webページの見た目をコピーすること自体は難しくありません。

次に、偽サイトへ誘導するためのメッセージを送ります。経路はメールに限りません。

どの経路でも共通しているのは、「すぐに対応しなければ問題が起きる」と思わせて、冷静な判断をさせないことです。焦って偽サイトに情報を入力してしまうと、その情報は攻撃者の手に渡ります。

ソーシャルエンジニアリングは、人の心理や行動の隙を突いて情報を引き出す手口の総称です。コンピュータのセキュリティを破るのではなく、人間のほうを騙してセキュリティを迂回します。

フィッシング詐欺もソーシャルエンジニアリングの一種ですが、ここではフィッシング以外の代表的な手口を紹介します。

システム管理者やサポート担当を名乗り、「確認のためパスワードを教えてください」と連絡してくる手口です。正規の管理者がパスワードを尋ねることはありません。電話でもメールでも、パスワードを聞かれた時点で詐欺と判断できます。

肩越しに画面や手元を覗き見る手口です。カフェや電車でスマートフォンのパスワードを入力しているとき、周囲から見られていることがあります。画面ロックの暗証番号やネットバンキングのパスワードなど、入力中の操作をそのまま記憶されてしまいます。

SNSに公開されている情報から、セキュリティ質問（「母親の旧姓は？」「最初のペットの名前は？」）の答えを推測する手口です。誕生日・出身地・ペットの名前・学校名などをSNSに載せていると、本人確認を突破される可能性があります。

ゴミ箱から書類や郵便物を漁って情報を得る手口です。宅配伝票、銀行の通知、契約書のコピーなどには名前・住所・口座番号といった個人情報が含まれています。

フィッシング詐欺もソーシャルエンジニアリングも、技術的に高度なことをしているわけではありません。どちらも「人が確認を怠る瞬間」を狙っています。

対策の軸は一つです。情報を渡す前に、相手と経路が正しいかを確認することです。リンクを開く前にURLを見る。電話で聞かれたら折り返す。入力する前に周囲を見る。一拍おいて確認する習慣が、攻撃の大半を防ぎます。