プルーフポイントが警鐘を鳴らすソーシャルエンジニアリングの進化と実態|セキュリティニュース

投稿日時: 2025年06月13日更新日時: 2025年06月12日

2025年現在、企業を狙うサイバー攻撃の手法は年々巧妙化しています。その中でも近年、特に警戒すべきなのが「ソーシャルエンジニアリング」と呼ばれる、人間の心理や行動の隙を突く攻撃です。

セキュリティ企業Proofpointが発表した最新レポート『The Human Factor 2025 Vol.1』では、1年間にわたって分析された21兆件ものURLと3.4兆件のメールデータをもとに、最新の攻撃傾向と具体的な手口が詳細に報告されています。情報システム部門の担当者としても、今や「人」が最大のセキュリティリスクになっている現実から目をそらすわけにはいきません。

1 ソーシャルエンジニアリングとは何か
2 増加する「信頼ベース」の詐欺メール
3 脅迫型から「親しみ」へ-変化する攻撃スタイル
4 国家支援型のスパイ活動もソーシャルエンジニアリングを活用
5 企業が取り組むべき4つの対策
6 まとめ：技術対策だけでは防げない、だからこそ「人」に目を向ける

ソーシャルエンジニアリングとは何か

ソーシャルエンジニアリングは、テクニカルな脆弱性を突くのではなく、人間の心理的な盲点を狙ったサイバー攻撃の手口です。

例えば、企業の経理担当と欺き指定口座へ入金させたり、カフェで離籍している会社員のPCからID　パスワードを盗み取るなど、多くは人間の心理的な隙や、行動のミスを利用します。

また、「あなただけが当選しました」「パスワードが期限切れです」などといった文言で、相手を信じ込ませたり焦らせたりする手口も頻繁に利用されています。こうしたメールやメッセージには、悪意あるリンクや添付ファイルが仕込まれており、クリックした時点で被害が始まります。

レポートによれば、特に昨今では生成AIの進化により、ネイティブな言語表現が容易になり、非英語圏であっても自然な文章で攻撃が届くようになってきました。日本語のなりすましメールもより洗練され、ひと目で偽物と見抜くのが難しいケースが増えています。

増加する「信頼ベース」の詐欺メール

Proofpointの調査では、詐欺メールの大半が「信頼関係の構築」を装っていることが分かりました。
具体的には、以下の5つのテーマが主に使われています

前金詐欺（Advance Fee Fraud） 少額の支払いで高額な見返りを得られるという“うまい話”を持ちかけ、金銭や情報をだまし取る。
見積もり依頼を装った詐欺 ビジネスメールを装い、取引のように見せかけて不正なファイルやURLを送りつける。
脅迫型詐欺（Extortion） 「不正アクセスを把握している」などと脅し、支払いを要求する（最近は減少傾向）。
サポート詐欺（TOAD：Telephone-Oriented Attack Delivery） システム管理者やサポートセンターを装って電話を促し、遠隔操作を仕掛ける。
クイックタスク詐欺（Quick Task Scam） 「ちょっとしたお願いがある」と軽く接触し、返信させたのち情報や金銭を要求する。

こうした手口の共通点は、「攻撃者がいきなり攻撃してくるのではなく、徐々に信頼関係を築く」という点にあります。いわば“サイバー版の詐欺師”です。

脅迫型から「親しみ」へ-変化する攻撃スタイル

興味深いのは、以前に比べて脅迫型詐欺が減少している一方で、前金詐欺やクイックタスク詐欺のような“フレンドリーなアプローチ”が増加している点です。

レポートによれば、前金詐欺の件数は前年比で47%も増加。脅しや恐怖ではなく、「チャンス」や「共感」を軸にした誘導型の手口が台頭しているのです。

たとえば、架空のNPO団体を装って「緊急支援のために少額の協力をお願いします」というメールを送り、信じた相手がリンクをクリックした瞬間にマルウェアが実行される──といったケースも報告されています。

国家支援型のスパイ活動もソーシャルエンジニアリングを活用

さらに深刻なのは、国家によるサイバースパイ活動にソーシャルエンジニアリングが使われている点です。

レポートでは、北朝鮮の「TA427」グループが、学術関係者や外交官をターゲットに、数週間にわたりメールで“無害な会話”を繰り返し、信頼を得た上でマルウェアを仕込むという手口をとっていたといいます。

実際に、国家支援の脅威アクターがソーシャルエンジニアリング手法を取り入れ、対象へPowerShellを実行させるサイバー攻撃の新手法「ClickFix」も確認されています。

もはや、サイバー攻撃は企業のセキュリティ担当者だけで防げるレベルではなく、組織全体、場合によっては国レベルでの対応が必要なフェーズに入っていることを示唆しています。

企業が取り組むべき4つの対策

このような状況において、企業が取るべき対策は明確です。Proofpointでは以下の4つを推奨しています：

可視化：誰が狙われているかを把握する 組織内の「高リスク人物」（経理担当、役員、IT管理者など）を特定し、攻撃の兆候を検知する体制を整えます。
AIによる異常検知の強化 メールの文体や行動パターンの違和感をAIで検知し、BEC（ビジネスメール詐欺）やTOADなどをリアルタイムで遮断します。
なりすまし対策の実施 DMARCなどの送信ドメイン認証技術を導入し、外部からのなりすましを防止します。
セキュリティ教育のアップデート 「標的型訓練メール」だけでなく、職種別のリスクに合わせた教育を行い、受信者が“引っかかりそうな自分”に気づくことが大切です。