ソーシャルエンジニアリングの基本からフィッシング、AIによるなりすまし、SNS型詐欺まで最新動向を解説。人的リスクを減らすための技術・教育・組織対策を紹介します。
はじめに：なぜ「人」が狙われるのか？
サイバー攻撃というと、脆弱性を突く高度な技術攻撃を想像しがちです。しかし実際には、攻撃者が狙うのは必ずしもシステムの弱点だけではありません。人間の「信頼する」「急いで対応する」「権威に従う」といった心理を利用するソーシャルエンジニアリングも重要な攻撃手段です。
2025年のVerizon「Data Breach Investigations Report（DBIR）」は、22,000件超のセキュリティインシデント、12,195件の確認済み侵害を分析し、認証情報の悪用やソーシャルエンジニアリングなど、人が関与する要素が依然として大きな位置を占めることを示しています。
さらに2026年9月公表のENISA「Threat Landscape 2026」でも、2025年に観測された脅威として、フィッシングやなりすましを中心としたソーシャルエンジニアリングが引き続き重要な攻撃手段となっています。
1．ソーシャルエンジニアリングとは？
ソーシャルエンジニアリングとは、人間の心理や行動を利用して、情報・認証情報・金銭などを不正に取得する攻撃手法です。
代表例がフィッシングです。銀行、ECサイト、企業、行政機関などを装ったメールやWebサイトで「アカウントが停止される」「不正アクセスを検知した」と不安をあおり、利用者自身にIDやパスワード、認証コードを入力させます。
重要なのは、攻撃者が「システムを破る」のではなく、利用者自身に正規の操作をさせるケースがあることです。そのため、セキュリティ製品だけでは完全に防ぐことが難しくなります。
2．代表的な手口と最新の変化
フィッシング
メールやWebサイトを偽装して認証情報や個人情報を盗む手口です。最近では、正規サービスのログイン画面に酷似したサイトだけでなく、QRコードを利用する「クイッシング」などにも広がっています。
ENISAの2025年版脅威分析では、フィッシング、ビッシング、マルスパムなどを含むソーシャルエンジニアリングが主要な侵入経路となっており、フィッシングが観測された侵入経路の約60％を占めました。さらにPhishing-as-a-Service（PhaaS）の普及により、専門知識が少ない攻撃者でも大規模な攻撃を実行しやすくなっています。
ビッシング・スミッシング
ビッシングは電話、スミッシングはSMSを利用した詐欺です。
「金融機関のサポート担当」「警察」「企業の担当者」などを装い、本人確認を理由に認証コードを聞き出したり、別のサービスへの移行を促したりします。
2025年にはFBIも、政府高官になりすましてSMSやAI生成音声を送り、信頼関係を構築した上で悪意あるリンクへ誘導する事例を公表しました。
ビジネスメール詐欺（BEC）
経営者や取引先になりすまして、送金先の変更や機密情報の提供を要求する攻撃です。
メールアドレスの偽装だけでなく、実際に侵害されたアカウントや過去のメールを利用するケースもあるため、「文章が不自然ではないから安全」とは判断できません。
IPAの「情報セキュリティ10大脅威 2026」でも、ビジネスメール詐欺は組織向け脅威として継続して選定されています。
SNS型投資・ロマンス詐欺
SNSやマッチングサービスなどを通じて接触し、時間をかけて信用を形成してから金銭を要求する手口です。
日本では2025年、SNS型投資・ロマンス詐欺を含む特殊詐欺の認知件数が約4.3万件、被害額は約3,257億円に達しました。
これは単純な「怪しいリンク」の問題ではありません。相手との関係性そのものを利用して判断を誤らせる点が、ソーシャルエンジニアリングの本質です。
3．AIによって何が変わったのか？
2025年以降の大きな変化が生成AIの悪用です。
従来のフィッシングメールには、不自然な日本語や誤字脱字があり、見破る手掛かりになることがありました。しかし生成AIを使えば、自然な文章を大量に作成できます。翻訳や個人情報の整理、標的に合わせた文面の変更も容易になりました。
ENISAは、2025年初頭までにAIを支援的に利用したフィッシングが世界の観測されたソーシャルエンジニアリング活動の80％超を占めたとの報告を紹介しています。また、AIはフィッシングだけでなく、音声・映像の生成やオンライン詐欺における人物のなりすましにも利用されています。
つまり今後は、「文章が自然だから本物」という判断そのものが危険になります。
4．組織はどう対策すべきか？
効果的なのは、人だけに注意を求めるのではなく、人が間違えても被害が拡大しにくい仕組みを作ることです。
まず、多要素認証（MFA）やパスワードレス認証、メールセキュリティ、EDR、Webフィルタリングなどによって攻撃を技術的に遮断します。ただし、攻撃者が利用者から認証コードを直接聞き出す場合、MFAだけでは十分ではありません。
そこで重要になるのが業務ルールです。
たとえば送金先変更の依頼をメールだけで完結させない、重要な依頼は別経路で本人確認する、認証コードを第三者に伝えない、機密情報を電話で安易に回答しない、といった**「確認を挟む仕組み」**を設けます。
また、フィッシング訓練も単なる正答率競争にしてはいけません。重要なのは「誰がクリックしたか」を責めることではなく、なぜ判断を誤ったのか、どの業務フローなら防げたのかを分析することです。
5．これからの対策は「人的リスクの見える化」へ
ソーシャルエンジニアリング対策では、「社員のセキュリティ意識を高める」だけでは不十分です。
たとえば、報告された不審メール、誤送信、確認不足によるヒヤリ・ハットなどを匿名化して分析すれば、どの業務・時間帯・連絡手段でリスクが高まるのかを把握できます。
さらにAIを利用して、メールやメッセージの文脈、送信者との過去の関係、急な送金要求、通常と異なる依頼などを分析すれば、**「人が判断する前に危険を知らせる」**仕組みも実現できます。
一方で、AIによる監視はプライバシーや誤検知の問題も伴います。利便性だけで導入するのではなく、利用目的、アクセス権限、保存期間などを明確にすることが重要です。
まとめ：人を責めるのではなく、人を守る設計へ
ソーシャルエンジニアリングは、技術だけでは解決できない「信頼」を狙う攻撃です。
2026年現在は、フィッシングやBEC、SMS・電話詐欺に加えて、生成AIによる自然な文章、音声、人物なりすましが組み合わさり、従来の「怪しい日本語を見抜く」という対策だけでは対応しにくくなっています。
IPAの「情報セキュリティ10大脅威 2026」でも、AIの利用をめぐるサイバーリスクが組織向け脅威として初めて選定されました。
だからこそ必要なのは、社員に「気を付けよう」と呼びかけるだけの対策ではありません。MFAなどの技術対策、確認ルール、実践的な訓練、迅速な報告、そして失敗を責めずに改善につなげる文化を組み合わせることが重要です。
ソーシャルエンジニアリングとの戦いは、「人間を弱点とみなす」のではなく、人間がミスしても攻撃を成立させないセキュリティ設計を作ることへと変わりつつあります。
