プリテキスティング

プリテキスティングはソーシャルエンジニアリング攻撃の一種で、攻撃者が作り出した状況、つまり口実を利用して被害者を脆弱な状況に誘い込み、個人情報、具体的には被害者が口実の文脈以外では通常提供しないような情報をだまして提供させます。^[1]プリテキスティングは歴史的にソーシャルエンジニアリングの第一段階とされ、FBIが捜査に役立ててきました。^[2]プリテキスティングの具体的な例としては、攻撃者が被害者をだまして最初に攻撃者に連絡させるリバースソーシャルエンジニアリングがあります。

ソーシャルエンジニアリング攻撃においてプリテキスティングが広く利用されている理由は、技術システムを操作するのではなく、攻撃者が望む情報にアクセスするために人間の心を操作することに依存しているためです。被害者を探す際、攻撃者は信頼する能力、脅威に対する認識の低さ、権威に対する反応、さまざまな状況で恐怖や興奮で反応する感受性など、さまざまな特性に目を光らせます。^{[3] [4]}歴史を通じて、プリテキスティング攻撃は複雑さを増しており、1900年代の電話でのオペレーターの操作から、社会保障番号、電話、銀行の使用を伴う2000年代のヒューレットパッカードスキャンダルに進化しました。^[5]ソーシャルエンジニアリングに関する現在の教育フレームワークは組織で使用されていますが、学術界の研究者はそれらのフレームワークの改善の可能性を提案しています。^[6]

ソーシャルエンジニアリングは、ターゲット/被害者の不本意な、または無意識の反応を引き起こす心理操作戦術です。 ^[7]これは、現代世界における情報セキュリティ上の最大の脅威の1つであり、組織、ビジネス管理、および業界に影響を及ぼしています。 ^[7]ソーシャルエンジニアリング攻撃は、心理操作に根ざしているため、防止が難しいと考えられています。^[8]これらの攻撃は、より広範囲に及ぶこともあります。他のセキュリティ攻撃では、顧客データを保有する企業が侵害される可能性があります。ソーシャルエンジニアリング攻撃では、企業（特に企業内の従業員）と顧客の両方が直接標的になる可能性があります。^[8]

一例としては、銀行業界が挙げられます。銀行員だけでなく、顧客も攻撃を受ける可能性があります。ソーシャルエンジニアリングの犯人は、純粋に技術的なシステムをハッキングして人間の脆弱性を悪用しようとするのを回避するために、顧客や従業員を直接ターゲットにします。^[8]

サイバーセキュリティに関する定義は文献によってまちまちだが、共通点は、ソーシャルエンジニアリング（サイバーセキュリティ）は、人間の脆弱性を利用してコンピュータや情報技術などの組織に侵入するという点である。^[2]

ソーシャルエンジニアリングについては、現在、文献や研究がほとんど行われていません。しかし、ソーシャルエンジニアリングを研究する際の方法論の主な部分は、架空の口実を設定することです。どのソーシャルエンジニアリング攻撃が最も危険または有害であるかを評価する場合（フィッシング、ビッシング、ウォーターホール攻撃など）、攻撃によっては複数の口実がある場合があるため、口実の種類はほとんど重要ではありません。したがって、口実自体は、それ自体の攻撃としてだけでなく、他の攻撃の構成要素としても広く使用されています。^[9]

サイバーセキュリティにおいて、プリテキスティングはソーシャルエンジニアリングの進化の最も初期の段階の1つであると考えられます。たとえば、フィッシングと呼ばれるソーシャルエンジニアリング攻撃はクレジットカードなどの最新のアイテムに依存し、主に電子空間で発生しますが、プリテキスティングはテクノロジーなしで実行可能でした。^[10]

プリテキスティングはソーシャルエンジニアリングの最初の例の1つです。1974年にFBIによって造られたプリテキスティングの概念は、捜査に役立てるためによく使用されました。この段階では、プリテキスティングは攻撃者が被害者に電話をかけ、単に情報を求めるというものでした。 ^[2]プリテキスティング攻撃は通常、説得戦術で構成されています。ソーシャルエンジニアリングの進化のこの初期段階（1974-983）の後、プリテキスティングは説得戦術だけでなく、欺瞞戦術にも変化しました。テクノロジーが発展するにつれて、プリテキスティングの手法もそれとともに発展しました。すぐに、ソーシャルメディアの発明により、ハッカーはより幅広い被害者にアクセスできるようになりました。^[2]

リバースソーシャルエンジニアリングは、プリテキスティングのより具体的な例です。^[11]これは、攻撃者が口実を作成し、ユーザーが攻撃者に連絡するように操作する非電子的なソーシャルエンジニアリングです。

リバースエンジニアリング攻撃では、攻撃者が技術支援の一種としてサービスを宣伝し、信頼性を確立するのが一般的です。そして、被害者は広告を見て攻撃者に連絡するように騙されますが、攻撃者はそもそも被害者に直接連絡することはありません。攻撃者がリバースソーシャルエンジニアリング攻撃を成功させると、攻撃者と被害者の間の偽の信頼により、さまざまなソーシャルエンジニアリング攻撃が確立される可能性があります（たとえば、攻撃者は被害者に有害なリンクを提供し、それが被害者の問題の解決策であると主張することができます。攻撃者と被害者のつながりにより、被害者は攻撃者を信じて有害なリンクをクリックする傾向があります）。^[12]

プリテキスティングは、ソーシャルエンジニアリング攻撃において有用な戦術であると見られてきましたし、現在もそう見られています。研究者によると、これはプリテキスティングがテクノロジー（コンピュータシステムへのハッキングやテクノロジーへの侵入など）に依存していないためです。プリテキスティングはオンラインでも発生しますが、ユーザーと、攻撃者が有利に利用できるユーザーの性格的側面に大きく依存しています。^[13]ユーザーへの依存度が高い攻撃は、ソーシャルエンジニアリング攻撃やプリテキスティング攻撃に対する反応が人によって異なるため、追跡や制御が難しくなります。ただし、コンピューターは比較的同じように動作するため、コンピューターを直接攻撃する方が解決に労力がかかりません。^[13]攻撃者が特定してターゲットとするユーザーの特定の特性があります。学術界では、いくつかの一般的な特性^[14]は次のとおりです。

被害者が「貴重な」人物である場合、それはソーシャルエンジニアが欲しがっている何らかの情報を持っていることを意味します。^[3]

信頼性は好感度と連動しており、一般的に好かれていればいるほど信頼されるようになります。^[14]同様に、ソーシャルエンジニア（攻撃者）と被害者の間に信頼が確立されると、信頼性も確立されます。したがって、被害者が信頼しやすくなると、被害者が攻撃者に個人情報を漏らしやすくなります。^[4]

人が出来事に対してどれだけ容易に反応するか、そしてどの程度反応するかは、ソーシャル エンジニアに有利に利用される可能性があります。特に、興奮や恐怖などの感情は、情報を漏らすよう人々を説得するためによく使用されます。たとえば、ソーシャル エンジニアが、被害者がソーシャル エンジニアに銀行情報を提供することに同意すれば、魅力的な賞品がもらえると脅す口実を設定できます。興奮の感情は、被害者を口実に誘い込み、攻撃者に求めている情報を提供するよう説得するために使用できます。^[14]

オンラインで何かをするときには脅威が存在することを理解しているにもかかわらず、ほとんどの人は、ランダムなリンクをクリックしたり、知らない人からの友達リクエストを受け入れたりするなど、これに反する行動をとります。^[14]これは、その行動が脅威や否定的な結果をもたらす可能性が低いと認識しているためです。存在を認識しているにもかかわらず、恐怖や脅威を感じないことが、ソーシャルエンジニアリング攻撃、特にプリテキスティングが蔓延しているもう1つの理由です。^[15]

被害者が従順で従順な場合、攻撃者が何らかの権威ある人物を装っていると被害者が考える口実を設定すると、攻撃者が攻撃を成功させる可能性が高くなります。^[14]

1984 年 10 月の記事「交換センターとオペレーター」では、当時よく見られたプリテキスティング攻撃について詳しく説明されています。攻撃者は、テレタイプライターを使用して聴覚障害者専用のオペレーターに連絡することがよくありました。その理由は、これらのオペレーターは通常のオペレーターよりも忍耐強いことが多いため、攻撃者が望む情報を得るために彼らを操作して説得するのが簡単だったからです。^[2]

注目すべき例としては、ヒューレット・パッカードのスキャンダルがある。ヒューレット・パッカード社は、誰がジャーナリストに情報を漏らしているのかを知りたかった。そのために、同社は私立探偵に従業員の個人情報（社会保障番号など）を提供し、私立探偵はそれらの従業員になりすまして電話会社に電話をかけ、通話記録を入手しようとした。スキャンダルが発覚すると、CEOは辞任した。^[16]

一般的に、ソーシャルボットは、ソーシャルエンジニアリング攻撃者が使用する、機械操作による偽のソーシャルメディアプロフィールです。Facebookなどのソーシャルメディアサイトでは、ソーシャルボットを使用して大量の友達リクエストを送信し、できるだけ多くの潜在的な被害者を見つけることができます。^[5]リバースソーシャルエンジニアリング技術を使用すると、攻撃者はソーシャルボットを使用して、多くのソーシャルメディアユーザーの膨大な個人情報を取得できます。^[17] 2018年には、詐欺師がTwitterで起業家のイーロン・マスクになりすまし、名前とプロフィール写真を変更しました。彼らは、ユーザーから送信された暗号通貨を増やすと約束する、欺瞞的な景品詐欺を開始しました。その後、詐欺師は送られた資金を保持しました。この事件は、ソーシャルエンジニアリング攻撃の戦術としてプリテキスティングがどのように使用されたかを示す例です。^[18]

ソーシャルエンジニアリングに関する現在の教育フレームワークは、認識とトレーニングの2つのカテゴリに分類されます。認識とは、ソーシャルエンジニアリングに関する情報が、そのトピックについて知らせるために、対象となる相手に提示されることです。トレーニングとは、ソーシャルエンジニアリング攻撃を受けた場合や遭遇する可能性がある場合に人々が習得して使用する必要なスキルを具体的に教えることです。^[6]教育フレームワークを構築する際には、認識とトレーニングを1つの集中的なプロセスに組み合わせることができます。

サイバーセキュリティ教育の文脈におけるトレーニングプログラムの成功と必要性に関する研究が行われてきましたが、^[19]ソーシャルエンジニアリングのトレーニングに関しては、最大70％の情報が失われる可能性があります。^[20]アジア太平洋地域の銀行におけるソーシャルエンジニアリング教育に関する調査研究では、ほとんどのフレームワークが認識またはトレーニングのいずれかにしか触れていないことがわかりました。また、教えられた唯一の種類のソーシャルエンジニアリング攻撃はフィッシングでした。これらの銀行のWebサイトのセキュリティポリシーを調べて比較すると、ポリシーには「マルウェア」や「詐欺」などの一般的な言葉が含まれており、さまざまな種類のソーシャルエンジニアリング攻撃の背後にある詳細や、それらの各タイプの例が欠けています。^[6]

この一般化は、これらのフレームワークによって教育を受けているユーザーにとって有益ではありません。なぜなら、ユーザーが上記の例のような大まかな用語についてのみ教育されている場合、かなりの深みが欠けているからです。また、ファイアウォールやウイルス対策などのソーシャルエンジニアリングやプリテキスティング攻撃に対抗する純粋に技術的な方法は効果がありません。これは、ソーシャルエンジニアリング攻撃は通常、人間の本性の社会的特性を悪用することを伴うため、純粋にテクノロジーと戦うことは効果的ではないからです。^[21]

• ソーシャルエンジニアリング
• 口実
• フィッシング
• ヒューレット・パッカードのスパイスキャンダル
• FBI