いちばん重要な特徴を先に書きます。ソーシャルエンジニアリングは、防御製品の外側で起きます。

ファイアウォールもEDRも、不正な通信やプログラムを見張るものです。ところが、正規の社員が、正規の手順で、自分の意思でパスワードを教えてしまった場合、そこに不正なものは1つも流れていません。だから止まりません。

対比は筆者による整理です。

第1章 おわり — 次は第2章

パソコンに突然「ウイルスに感染しました」という警告画面が出て、表示された番号に電話すると遠隔操作をされ、金銭を要求される——サポート詐欺です。多くの人が「引っかかるほうが不注意だ」と考えます。

ところが、警察庁の資料に、こういう記録があります。

読み替えます。6人を捕まえたら、日本中の相談が翌月に減りました。

もし被害の原因が「日本人の注意力」だったなら、こんな変化は起きません。国民の注意力が1か月で急に上がることはないからです。被害は、特定の組織が計画的に生産していた——それが、この数字が示していることです。

規模を数字で見る

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』。フィッシング報告件数はフィッシング対策協議会、証券口座の数値は金融庁およびフィッシング対策協議会によるものとして同資料に記載されています。

上2行だけで3,241億円です。そしてこれらは、どれもシステムを破って盗んだお金ではありません。被害者自身が、自分の手で振り込んでいます。

第2章 おわり — 次は第3章

ソーシャルエンジニアリングは、いきなり「パスワードを教えてください」から始まりません。準備と撤収がある、5段階の作業です。

5段階の整理は筆者によるものです。公的な分類ではありません。

3段階目が、この攻撃の本体です。「部長の名前を知っている」「先週の会議の話をしている」——正しい情報が混ざった瞬間、人は残りも正しいと推定します。ここは注意力では突破できません。

そして5段階目を確認する組織が、ほとんどありません。メールアカウントが乗っ取られた事案では、攻撃者が自動転送ルールを残していくことがあります。パスワードを変えただけでは、そのルールは消えません。

代表的な型

呼び名は業界で広く使われていますが、標準化された用語ではありません。訳語や範囲は文献によって異なります。

第3章 おわり — 次は第4章

最後の行について、警察庁の資料に具体例があります。北朝鮮当局の下部組織とされるラザルスに関する注意喚起（警察庁・金融庁・NISC連名）では、その手口をこう記しています。

国家を背景とするとされる攻撃グループでも、入口はSNSでの声かけです。高度な技術を持つ相手ほど、いちばん安い経路を選びます。

第4章 おわり — 次は第5章

人は、すべての情報をゼロから吟味してはいません。大半の場面で、判断を省略する近道を使っています。使わなければ日常生活が回らないからです。ソーシャルエンジニアリングは、その近道を狙います。

影響力に関する一般的な整理を、この文脈に合わせて筆者がまとめたものです。

ここで大事なのは、これらが「弱さ」ではないということです。上司の指示に従う、急ぎの依頼を優先する、親切にしてくれた人を信じる——どれも、組織で働くうえで望ましい性質です。攻撃者は、その望ましい性質を狙っています。

第5章 おわり — 次は第6章

前章のとおり、注意力では対抗できません。効くのはその場で判断させない仕組みです。

実務上の一般的な整理です。業種や体制によって適した内容は異なります。

最大の穴は、ヘルプデスクにあります

意外に思われるかもしれませんが、社内のヘルプデスクや情シスの窓口が、最も狙われやすい入口です。理由は3つあります。

第6章 おわり — 次は第7章

ここまでは「だまして奪う」話でした。しかし日本で近年深刻なのは、だまして犯罪に加担させる使われ方です。

警察庁は、SNS上の犯罪実行者の募集について、こう記しています。

これも、第5章の条件がそのまま使われています。「楽で、簡単、高収入」は、判断を省略させる言葉です。

規模も小さくありません。インターネット・ホットラインセンター（IHC）が2025年に分析した結果、犯罪実行者募集情報は1万4,241件と判断されています。

流れの整理は筆者によるものです。段階2の「匿名性が高くメッセージが自動的に消去される仕組みを備えた通信手段」の悪用は、警察庁資料に記載があります。

3段階目が転換点です。身分証を送った時点で、逃げ道を塞がれます。同資料は、インターネットを通じて知り合った人物に誘われ、海外渡航した結果、特殊詐欺に加担させられる事案も発生していると記しています。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ