ソーシャルエンジニアリングとは 最新の手口・被害事例・北朝鮮の悪用・生成AI時代の対策を解説

ソーシャルエンジニアリングとは、システムの脆弱性だけを狙うのではなく、人の信頼、権威への服従、緊急性、不安、好奇心などを利用し、本人に情報提供や送金、ログイン、ソフトウェア実行などの行動を取らせる攻撃手法です。

代表例はフィッシングメールですが、電話を使うボイスフィッシング、SMSを使うスミッシング、経営者や取引先を装うビジネスメール詐欺（BEC）、ヘルプデスク担当者へのなりすまし、オフィスへの共連れ侵入、採用面接を装う攻撃まで含まれます。

2026年には国内でも、警察関係者を名乗る人物からの電話を起点に株式会社はてなから総額11億7,981万円が流出した事案や、安藤ハザマの社員が警察官を名乗る人物にだまされ、約5,000件の名刺情報を自らダウンロードして外部へ送信した事案が発生しました。

また、北朝鮮を背景とするWaterPlumは採用担当者を装ってIT技術者へ接触し、技術面接やコーディング課題を口実にマルウェアを実行させています。警察庁によると、2025年12月頃から2026年7月にかけて、日本を含む100以上の国・地域で3万台以上とみられるPCが感染しました。

現在のソーシャルエンジニアリング対策は、「怪しいメールを見抜く教育」だけでは足りません。本人確認、送金承認、データ持ち出し制御、ID・端末防御、採用時の身元確認、SOCへの報告と初動対応までを組み合わせる必要があります。

ソーシャルエンジニアリングとは

NISTはソーシャルエンジニアリングについて、相手を欺いて機密情報を開示させたり、不正アクセスや詐欺につながる行動を取らせたりする行為として定義しています。

ポイントは、攻撃者自身が必ずしもシステムへ侵入する必要がないことです。

正規の従業員が自分のアカウントでログインし、攻撃者に指示された通りに、

• ファイルをダウンロードする
• データを外部へ送信する
• 指定口座へ送金する
• MFAを承認する
• リモートアクセスツールを導入する
• APIキーやパスワードを伝える

といった操作を行えば、技術的な認証は正常に通過していても被害が発生します。

ソーシャルエンジニアリングは、サイバー攻撃だけではなく物理的な侵入や対面での情報取得にも使われます。

例えば、配送業者や点検業者を装ってオフィスへ入り込む、入館する従業員の後ろについて入室する、離席中の画面や付箋から情報を盗み見るといった行為も含まれます。

フィッシングとソーシャルエンジニアリングの違い

フィッシングはソーシャルエンジニアリングの一種です。

ソーシャルエンジニアリングは、人をだまして行動させる攻撃全体を指します。フィッシングはそのうち、メールやWebサイトなどのデジタル手段を使って認証情報や個人情報を取得する手法です。

ボイスフィッシングについては、ボイスフィッシング（ビッシング）とは？被害事例や対策を解説でも整理しています。

海外統計から見るソーシャルエンジニアリングの現状

ソーシャルエンジニアリングは、現在も企業侵害や金銭詐欺の主要な経路です。

ただし、統計によって対象が「データ侵害」「インシデント対応案件」「インターネット犯罪被害」など異なるため、単純に割合を比較することはできません。

Verizonの2026 DBIRでは、ソフトウェア脆弱性の悪用が31％で侵入経路の首位となりました。つまり「人を狙う攻撃だけが増えている」という状況ではありません。

一方で、メール対策が強化される中、攻撃者がSMSや電話などモバイルへ移っていることも示されています。

企業側では、メールゲートウェイだけを強化するのではなく、電話、SMS、チャット、採用、ヘルプデスクなども攻撃面として扱う必要があります。

ソーシャルエンジニアリングで使われる心理

攻撃者は、単に偽の情報を送るだけではなく、相手が「確認せずに行動する理由」を作ります。

代表的なのは次のような心理です。

2026年に国内で確認された安藤ハザマとはてなの事案では、「警察」という権威と捜査への不安が利用されました。

このため、教育で「不自然な日本語」や「怪しいURL」だけを見分ける方法を教えても、電話や対面で信頼できる人物を装われた場合には対応できません。

ソーシャルエンジニアリングの主な手口

フィッシング

金融機関、クラウドサービス、社内システムなどを装ったメールから偽サイトへ誘導し、ID・パスワードやMFA情報を取得する手法です。

近年は、正規クラウドや正規AIサービスの共有機能を攻撃経路に使う事例もあります。

セキュリティ対策Labでは、Claude、ChatGPT、Grokなどの正規共有ページを悪用して利用者へ偽の操作手順を提示する事例をClaude・ChatGPT・Grokの正規ドメインがマルウェア配布の入口にで取り上げています。

スピアフィッシング

不特定多数ではなく、特定の社員や部署、役員を狙うフィッシングです。

攻撃者は企業サイト、SNS、求人情報、登記、プレスリリースなどから担当者名や取引関係を調べ、実際の業務に合わせた内容を作ります。

経理、人事、システム管理者、役員秘書など、特定の操作権限を持つ人物が狙われます。

ボイスフィッシング（ビッシング）

電話を使い、警察、銀行、ITサポート、経営者、取引先などになりすまして情報や操作を要求する手法です。

攻撃者が電話で接触した後、ビデオ通話、チャット、リモートアクセスツールへ誘導する場合もあります。

スミッシング

SMSを使ったフィッシングです。

配送通知、金融機関、不正利用通知、社内IT連絡などを装ってURLを開かせたり、電話をかけさせたりします。

スマートフォンではURL全体を確認しにくく、業務端末よりもセキュリティ監視が弱い場合があるため、攻撃者にとって有効な経路になります。

ビジネスメール詐欺（BEC）・CEO詐欺

社長、役員、取引先、弁護士などを装い、振込先変更や緊急送金を要求する手法です。

単純な表示名偽装だけでなく、実際のメールアカウントを乗っ取り、過去の取引メールを監視したうえで既存の会話へ割り込むケースもあります。

国内の最新事例はビジネスメール詐欺（BEC）・ニセ社長詐欺 不正送金被害まとめで継続的に整理しています。

ヘルプデスク・IT部門へのなりすまし

「アカウントの異常を検知した」「端末設定を修正する」などと説明し、従業員へMFA承認、パスワード変更、リモート操作ツールの導入を要求する手法です。

逆に、攻撃者が従業員になりすまして社内ヘルプデスクへ連絡し、パスワードやMFAをリセットさせる場合もあります。

アングラーフィッシング

SNS上で企業へ問い合わせや苦情を投稿した利用者に対し、公式サポートを装った偽アカウントが接触する手口です。

被害者側がサポートからの連絡を待っているため、攻撃者からの接触を信じやすい点が特徴です。

ベイティング

興味を引くファイル、USBメモリ、無料コンテンツなどを「餌」にして操作させる手法です。

「給与改定」「人員削減計画」「機密資料」などの名称を使い、ファイルを開かせる場合があります。

テールゲーティング／共連れ侵入

正規社員が入館するタイミングに合わせ、同僚や業者を装って一緒に制限区域へ入る手法です。

荷物を抱え、ドアを開けてもらうなど、相手の善意を利用する場合もあります。

ショルダーサーフィン・盗み見

背後から画面やキーボードを見て、パスワード、PIN、機密情報などを取得する手法です。

オフィスだけでなく、空港、カフェ、新幹線など公共空間でのPC利用でも発生します。

ゴミ箱あさり

廃棄された書類、付箋、名刺、組織図、端末情報などから攻撃に必要な情報を集める手法です。

電子化が進んだ現在でも、印刷物や配送ラベルなどから氏名、部署、取引先情報を把握できる場合があります。

ソーシャルエンジニアリングの攻撃サイクル

すべての攻撃が同じ順序で進むわけではありませんが、標的型のソーシャルエンジニアリングは次の流れで進むことがあります。

1. 情報収集

攻撃対象となる人物、部署、権限、取引先、利用サービスなどを調べます。

企業サイトやSNSだけでなく、求人情報、登記、GitHub、過去の漏えい情報、名刺情報、公開資料なども利用されます。

2. プリテキストを作る

攻撃対象が信じる理由を作ります。

例えば、

• 社内IT担当者
• 取引先の担当者
• 社長や役員
• 警察官
• 金融機関
• 採用担当者
• ソフトウェアベンダーのサポート

などの役割を装います。

3. 行動を要求する

信頼関係を作った後、具体的な操作へ誘導します。

認証情報の入力、MFA承認、送金、データ送信、ファイル実行、リモートアクセス許可などです。

4. 侵害を拡大する、または離脱する

取得した認証情報で他システムへ侵入したり、メールボックスを監視してBECへ発展させたりします。

一方、金銭やデータを取得した時点で会話を自然に終了させ、発覚を遅らせる場合もあります。

ソーシャルエンジニアリングの被害事例

JAL：偽の取引先メールで約3億8,400万円を送金

IPAの「情報セキュリティ白書2018」によると、日本航空（JAL）は2017年、2件のビジネスメール詐欺によって総額約3億8,400万円の被害を受けました。

航空機リース料の事案では、正規取引先と1文字違いのメールアドレスが使われ、送金先口座を変更した偽の請求情報が送られました。

JALは再発防止として、送金先口座変更時の確認や登録手続きを厳格化しています。

この事案は、ソーシャルエンジニアリング対策がメールの判定だけではなく、送金プロセスの統制にも必要であることを示す例です。

Coinbase：SMSの後にIT部門を装う電話

Coinbaseは2023年2月、社員を狙ったソーシャルエンジニアリング攻撃の詳細を公表しました。

複数の社員へ「緊急の確認が必要」とするSMSが送られ、1人の社員が偽サイトへユーザー名とパスワードを入力しました。

攻撃者は取得した認証情報で社内システムへのアクセスを試みましたが、MFAによってブロックされました。

しかし約20分後、攻撃者は社員へ電話し、CoinbaseのIT部門を装ってPC操作を指示しました。

最終的に顧客資金や顧客情報への影響はありませんでしたが、社員の氏名、メールアドレス、電話番号など一部の社内ディレクトリ情報が閲覧されました。

この事案では「MFAがあるから終わり」ではなく、認証失敗後に攻撃者が電話へ切り替えています。

Insight Partners：ソーシャルエンジニアリングから情報システムへ侵入

米ベンチャーキャピタルInsight Partnersは2025年1月16日、高度なソーシャルエンジニアリング攻撃によって第三者が一部情報システムへアクセスしたと公表しました。

同社は数時間以内に封じ込めと調査を開始し、その後、従業員やファンド、投資先、LPなどに関連する情報が影響対象になり得ることを明らかにしています。

セキュリティ対策LabではInsight Partnersへの不正アクセス事例として整理しています。

はてな：警察関係者を装う電話から11億7,981万円流出

株式会社はてなの2026年4月の資金流出事案は、国内企業が受けたソーシャルエンジニアリングの代表例の一つです。

特別調査委員会の調査報告書によると、経理部長の私用携帯電話へ警察関係者を名乗る人物から連絡があり、資金洗浄事件の捜査を装って協力を求めました。

その後、ビデオ通話、偽の身分証明、口外禁止、リモートデスクトップなどが組み合わされ、最終的に総額11億7,981万円が流出しました。

これはCEO詐欺ではなく、警察の権威と捜査への不安を利用したボイスフィッシング型のソーシャルエンジニアリングです。

詳細ははてなの11.8億円流出はボイスフィッシングが起点で解説しています。

安藤ハザマ：正規社員が約5,000件の名刺情報を送信

安藤ハザマは2026年8月、社員が警察官を名乗る人物にだまされ、名刺管理システムから約5,000件の情報をダウンロードし、電子メールで相手へ送信したと公表しました。

攻撃者が名刺管理システムへ不正アクセスした事案ではありません。

正規の権限を持つ社員自身に、正規機能を使ってデータを持ち出させた点が特徴です。

安藤ハザマ、ソーシャルエンジニアリングで約5,000件の個人情報漏洩でも、正しいIDでログインしていることと、正しい目的で操作していることは別だと整理しています。

北朝鮮もソーシャルエンジニアリングを採用・偽装就労に悪用

ソーシャルエンジニアリングは、一般的な金銭詐欺だけでなく国家を背景とするサイバー活動にも使われています。

WaterPlum：偽の採用面接で3万台以上にマルウェア感染

警察庁と国家サイバー統括室は2026年9月18日、米国、豪州、ドイツと共同で、北朝鮮を背景とするWaterPlumの活動を公表しました。

WaterPlumは「Contagious Interview」とも呼ばれ、AI企業、暗号資産企業、NFT企業、人材紹介会社などを装ってIT技術者へ求人を持ちかけます。

その後、技術面接やコーディング課題を装い、不正なコードやパッケージを実行させます。

警察庁によると、2025年12月頃から2026年7月にかけて、

• 日本を含む100以上の国・地域
• 3万台以上とみられるPC
• 7,000件以上の暗号資産ウォレット情報

が影響を受け、WaterPlum管理ウォレットには少なくとも約17億円相当の暗号資産が送金されていました。

詳細は警察庁、北朝鮮WaterPlumとIT労働者の実態を公表で整理しています。

北朝鮮IT労働者：偽の身分と代理人で企業へ入り込む

北朝鮮IT労働者は、盗用・偽装した身分情報、VPN、ラップトップファーム、第三国の代理人などを使い、企業へ正規のリモートワーカーとして入り込む活動も行っています。

警察庁などが2026年7月31日に公表した多国間注意喚起では、第三者がオンラインアカウント作成、採用面接、対面対応などを代行する例が増えているとされています。

米司法省は2026年4月、北朝鮮IT労働者が少なくとも80人の米国人の盗用IDを使い、100社を超える米企業で就労し、北朝鮮政府に500万ドル超の収益をもたらしたスキームの支援者2人に実刑判決が出たと公表しました。

この手口は「マルウェアをメールで送りつける」だけの攻撃ではありません。

採用担当者、面接官、業務委託担当者に対して「この応募者は実在する人物で、申告どおりの所在地から働いている」と信じ込ませるソーシャルエンジニアリングです。

関連事例は以下でも整理しています。

• 北朝鮮IT労働者に関する多国間注意喚起、日本でも偽装労働者を確認
• 北朝鮮ITワーカー、第三国人材を「代理面接」に採用
• 日本のフリーランスへ海外から名義貸し依頼

生成AIでソーシャルエンジニアリングはどう変わったか

生成AIはソーシャルエンジニアリングという手法そのものを生み出したわけではありません。

変わったのは、攻撃の調査、文章作成、翻訳、なりすまし、音声・映像生成を短時間で実行できるようになった点です。

Microsoft Digital Defense Report 2025では、AI駆動のフィッシングが従来型キャンペーンより3倍高い効果を示していると報告しています。

メール文面だけでなく「誰をどう騙すか」までAIが支援

Microsoftは2026年9月、サイバー犯罪サービス「EvilTokens」のインフラを法的措置によって停止したと公表しました。

EvilTokensではAIチャットボットが、侵害したメールボックスを分析し、

• 誰と信頼関係があるか
• 誰が支払いを承認するか
• どの業務が機密性を持つか
• 誰になりすますと詐欺が成功しやすいか

を判断し、詐欺シナリオやなりすましメール作成まで支援していました。

生成AIの影響は「自然な日本語のフィッシングメールが増える」だけではありません。

攻撃対象の選定と信頼関係の分析まで自動化・効率化される点を考慮する必要があります。

音声・映像のディープフェイクも本人確認を難しくする

音声クローンやディープフェイク映像を使えば、役員、家族、採用候補者などのなりすまし精度を高められます。

そのため、声や顔が一致したことだけで本人確認を完了する運用は安全ではありません。

生成AIを悪用したフィッシングの変化は生成AIによりフィッシング詐欺が高度化でも整理しています。

ソーシャルエンジニアリングを防ぐ方法

対策は、従業員教育だけで完結させず、「人・業務プロセス・技術」の3層で設計します。

送金・口座変更は別経路で確認する

役員や取引先を名乗る依頼であっても、送金先変更や高額送金はメールやチャットだけで完結させないようにします。

確認するときは、依頼メールに書かれた電話番号ではなく、契約書や社内台帳など事前登録済みの連絡先を使います。

高額送金は複数人承認とし、「緊急だから承認者を飛ばす」という例外を作らないことも必要です。

警察・官公庁を名乗る連絡は公式窓口へ折り返す

警察、税務署、金融機関などを名乗る相手から電話を受けた場合、そのまま会話を続けず、一度切って公式サイトに掲載された代表番号から確認します。

「捜査中だから上司へ相談するな」「秘密にしろ」と要求された場合も、高リスクな兆候として扱います。

MFAはフィッシング耐性の高い方式を優先する

MFAは認証情報だけが盗まれた場合には有効ですが、利用者自身にMFA承認をさせる攻撃や、ヘルプデスクをだましてMFAを再登録させる攻撃までは防げません。

可能な環境ではFIDO2／パスキーなどフィッシング耐性の高い認証方式を優先します。

加えて、

• MFAリセット
• パスワード再発行
• 新規端末登録
• 管理者権限付与

などの高リスク操作には、通常ログインとは別の本人確認を設定します。

リモートアクセスツールとローカル管理者権限を制限する

攻撃者が電話でAnyDeskなどの遠隔操作ツールを入れるよう指示する事例があります。

一般社員が自由にリモートアクセスツールをインストールできないよう、アプリケーション制御や管理者権限の制限を行います。

大量ダウンロードやデータ持ち出しを監視する

安藤ハザマの事案のように、攻撃者が正規ユーザーへデータをダウンロードさせる場合、ID認証だけでは検知できません。

DLP、CASB、SaaS監査ログ、UEBAなどを使い、

• 通常より大きいデータ取得
• 大量の連絡先エクスポート
• 不審な外部宛メール
• 未承認クラウドへのアップロード

を検知できる状態にします。

採用・業務委託でも本人確認を行う

北朝鮮IT労働者の事例では、採用プロセス自体がソーシャルエンジニアリングの対象です。

リモート採用では、

• 本人確認書類と応募情報の照合
• ライブ面接
• 職歴・資格の具体的確認
• IPアドレスと申告居住地の不一致確認
• VPN・プロキシ利用状況
• 給与振込口座名義
• 企業貸与端末の配送先
• 面接者と実作業者が同一か

を確認します。

外部委託では再委託先も含めて把握し、契約後もアカウント利用状況を監視します。

セキュリティ教育は「見抜く」だけでなく「報告する」訓練にする

教育は必要ですが、「全社員が攻撃を見抜けるようにする」ことだけを目標にすると限界があります。

訓練では、

• 不審メールの報告率
• 最初の報告までの時間
• 認証情報を入力した割合
• 電話やSMSを含む訓練への対応
• 報告後にSOCが判断するまでの時間
• セッション失効や端末隔離までの時間

を測定します。

セキュリティ対策Labのセキュリティ教育だけではサイバー攻撃は防げないでも、教育と監視・検知・対応をつなぐ方法を整理しています。

ソーシャルエンジニアリングをレッドチーム演習へ含める

企業の承認を得たレッドチーム演習では、メール、電話、物理侵入、ヘルプデスクへのなりすましなどを含め、実際の業務プロセスが機能するかを検証できます。

ただし、従業員への心理的負担や実在機関へのなりすましを伴うため、経営、法務、人事を含む事前承認、禁止事項、中止条件が必要です。

演習の考え方はレッドチームとは？ペネトレーションテストとの違い・演習内容・導入判断で解説しています。

ソーシャルエンジニアリングを受けた場合の初動対応

社員がフィッシングサイトへ認証情報を入力した、電話でMFAを承認した、データを送信した、送金したと判明した場合は、本人への注意だけで終わらせません。

事象に応じて次の対応を並行して進めます。

• 該当アカウントのパスワード変更
• 既存セッション、APIトークン、OAuthトークンの失効
• MFA登録状況の確認と不正デバイス削除
• メール転送ルールやInbox Ruleの確認
• 影響端末の隔離
• リモートアクセスツールの確認
• 不審メールやSMSの全社検索
• 外部送信されたデータ範囲の確認
• 高額送金の場合は金融機関へ直ちに組戻し・凍結相談
• ログ、メール、チャット、通話履歴などの証拠保全
• CSIRT、法務、経営、必要に応じて警察・関係機関へ連絡

被害者が早く報告できる組織にするため、報告した従業員を責める運用は避ける必要があります。

情報システム部門が確認したいポイント

ソーシャルエンジニアリング対策を見直す際は、研修の実施回数だけでなく、実際の業務で攻撃者の要求を止められるか確認します。

• 高額送金と振込先変更に別経路確認・複数承認があるか
• 警察・金融機関・役員を名乗る連絡の確認手順があるか
• MFAリセットや端末登録をヘルプデスクだけで完結できないか
• パスキーなどフィッシング耐性MFAを導入できるか
• 社員が自由に遠隔操作ソフトを導入できないか
• SaaSからの大量ダウンロードや外部送信を検知できるか
• 採用・業務委託時に本人・所在地・実作業者を確認しているか
• メールだけでなく電話、SMS、チャットを訓練対象にしているか
• 従業員が迷わず使える報告窓口があるか
• 報告後にSOC／CSIRTがアカウント停止、端末隔離、送金停止まで実行できるか

ソーシャルエンジニアリングは、人が「弱い」から成立する攻撃ではありません。

企業活動には、役員の指示に従う、取引先を信頼する、警察へ協力する、顧客を助けるといった正当な行動があります。攻撃者はその業務上の信頼を利用します。

そのため対策では、「社員が騙されないこと」を前提にせず、社員が誤った判断をしても、高額送金、情報持ち出し、特権変更、外部アクセスのどこかで止められる仕組みを設計する必要があります。

出典

• social engineering – NIST CSRC Glossary
• 2026 Data Breach Investigations Report – Verizon
• Vulnerability exploitation top breach entry point, 2026 industry-wide DBIR finds – Verizon
• Microsoft Digital Defense Report 2025 – Microsoft
• 2025 IC3 Annual Report – FBI Internet Crime Complaint Center
• Business Email Compromise: The $55 Billion Scam – FBI IC3
• Social Engineering – A Coinbase Case Study – Coinbase
• Statement from Insight Partners on Cyber Incident – Insight Partners
• 情報セキュリティ白書2018 – IPA
• 個人情報（名刺情報）の外部流出に係るお詫びとご報告 – 安藤ハザマ
• 北朝鮮サイバー攻撃グループ「WaterPlum」によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について – 警察庁・国家サイバー統括室
• 北朝鮮IT労働者に関する各国・企業等に対する注意喚起 – 警察庁
• Two U.S. Nationals Sentenced for Facilitating Fraudulent Remote Worker Scheme that Generated $5 Million in Revenue for the DPRK – U.S. Department of Justice
• Disrupting EvilTokens: The AI Chatbot Built for Cybercrime