ソーシャルエンジニアリング（セキュリティ）

英国ではブラギングとも呼ばれるプリテキスティング^{[ 14 ]}は、架空のシナリオ（プリテキスティング）を作成して使用し、標的の被害者が通常の状況では考えにくい情報を漏らしたり行動したりする可能性を高める方法で被害者と関わる行為である^{[ 15 ]} 。手の込んだ嘘であり、多くの場合、事前の調査や準備、そしてこの情報を使用してなりすまし（例：生年月日、社会保障番号、最後の請求額）を行い、標的の心の中で正当性を確立する^{[ 16 ] 。}

ウォーターホーリングは、ユーザーが普段よく訪れるウェブサイトに対する信頼を利用する、標的型ソーシャルエンジニアリング戦略です。被害者は、普段ならしないようなことをしても安全だと感じます。例えば、用心深い人は、迷惑メールのリンクをクリックすることを意図的に避けるかもしれませんが、同じ人でも、よく訪れるウェブサイトのリンクをクリックすることをためらいません。そこで攻撃者は、警戒心の薄い獲物を、お気に入りの水飲み場で罠にかけるのです。この戦略は、（おそらく）非常に安全と思われるシステムへのアクセス権を取得するために、実際に使用されてきました。^{[ 17 ]}

ベイト攻撃は、物理メディアを使用し、被害者の好奇心や貪欲さにつけ込む現実世界のトロイの木馬の一種です。 ^{[ 18 ]}この攻撃では、攻撃者はマルウェアに感染したフロッピーディスク、CD-ROM、またはUSBフラッシュドライブを、人々が見つけやすい場所（トイレ、エレベーター、歩道、駐車場など）に置き、正当で好奇心をそそるラベルを付けて、被害者を待ちます。

コンピュータの制御が感染をブロックしない限り、挿入によって PC の「自動実行」メディアが侵害されます。悪意のあるデバイスも使用されることがあります。^{[ 19 ]}例えば、「幸運な当選者」に無料のデジタルオーディオプレーヤーが送られ、接続されたコンピュータが侵害されます。「ロードアップル」（馬糞の俗語で、デバイスの好ましくない性質を示唆）は、悪意のあるソフトウェアが入ったリムーバブルメディアで、好機的または目立つ場所に放置されています。CD、DVD、USB フラッシュドライブなどのメディアです。好奇心旺盛な人がそれを持ち出してコンピュータに接続すると、ホストと接続されているネットワークが感染します。ここでも、ハッカーは「従業員の給与」や「機密」などの魅力的なラベルを付けることがあります。^{[ 20 ]}

2016年に発表されたある研究では、研究者がイリノイ大学のキャンパス周辺に297個のUSBドライブを落とした。ドライブには、研究者が所有するウェブページにリンクするファイルが含まれていた。研究者は、ドライブ内のファイルが開かれたドライブの数を確認することはできたが、ファイルが開かれていない状態でコンピュータに挿入されたドライブの数は確認できなかった。落とされた297個のドライブのうち、290個（98%）が回収され、135個（45%）が「自宅へ戻った」。^{[ 21 ]}

広告フィッシングは、悪意のある者がオンライン広告を利用して、ユーザーが正規のブランドやサービスとやり取りしていると信じ込ませるソーシャルエンジニアリングの手法です。Googleによると、これらの欺瞞的な広告は、銀行、ソフトウェアプロバイダー、カスタマーサポートページなどの信頼できる組織を模倣することが多く、ユーザーをパスワード、クレジットカード情報、その他の機密データを盗もうとする不正なサイトに誘導します。^{[ 22 ]}

攻撃者は、好意と引き換えに機密情報（ログイン認証情報など）を提供したり、一定額の金銭を支払ったりすることを申し出る。攻撃者は、無料のITヘルプを提供する専門家を装い、ユーザーからログイン認証情報を要求することもある。^{[ 23 ]}

被害者は、偽の脅威や警告に関する複数のメッセージに晒され、システムがマルウェアに感染していると思い込まされる。そのため、攻撃者は被害者にリモートログインソフトウェアやその他の悪意のあるソフトウェアをインストールさせたり、直接身代金を要求したりする。例えば、犯罪者が所有していると主張する機密ビデオの安全と引き換えに、一定額の暗号通貨を送金するよう申し出るなどである。 ^{[ 23 ]}

攻撃者は、会社の従業員やアクセス権限を持つ他の人物になりすまして、オフィスやその他の制限区域に侵入します。欺瞞やソーシャルエンジニアリングの手法が積極的に用いられます。例えば、侵入者は何かを手に持った宅配業者や荷積み業者になりすまし、外を歩いている従業員にドアを開けておくように頼み、建物への侵入を試みます。^{[ 23 ]}

ケビン・ミトニック、スーザン・ヘッドリー、ルイス・デ・ペインは、1970年代後半から1980年代初頭にかけてロサンゼルスでソーシャルエンジニアリングを伴うフリーキングやコンピュータハッキングの活動に関与していた。 ^{[ 28 ] [ 29 ]}

バディール兄弟、ラミー、ムザー、シャッデ・バディールは、全員生まれつき盲目であったが、 1990年代にイスラエルでソーシャルエンジニアリング、声真似、点字表示コンピューターを使用して大規模な電話とコンピューター詐欺計画を企てた。^{[ 30 ] [ 31 ]}

2011年、ハッカーは暗号技術企業RSAに侵入し、 SecurID二要素認証キーフォブ に関する情報を入手した。このデータを利用して、ハッカーは後に防衛請負業者ロッキード・マーティンのネットワークへの侵入を試みた。ハッカーは、採用サイトを装ったメールを親会社の従業員4人に送信することでキーフォブのデータにアクセスした。メールには「2011採用計画」というタイトルのExcel添付ファイルが含まれていた。このスプレッドシートには、職場のコンピュータへのバックドアアクセスを提供するゼロデイFlashエクスプロイトが含まれていた。 ^{[ 32 ] [ 33 ]}

2013年、米国労働省のサーバーがハッキングされ、マルウェアをホストするために使用され、ゼロデイのInternet Explorerの脆弱性を悪用してPoison Ivyと呼ばれるリモートアクセス型トロイの木馬をインストールするサイトに一部の訪問者をリダイレクトした。攻撃者は、エネルギー省が管理する有毒な核物質に関連するページを作成するウォーターリングホール攻撃を使用した。標的は、機密の核データにアクセスできる労働省とエネルギー省の職員であった可能性が高い。^{[ 32 ] [ 34 ]}

2014年11月24日、ハッカー集団「ガーディアンズ・オブ・ピース」^{[ 35 ]}（北朝鮮と関連があるとみられる）^{[ 36 ]が} 、映画スタジオのソニー・ピクチャーズ・エンタテインメントから機密データを漏洩した。漏洩したデータには、電子メール、役員の給与、従業員の個人情報や家族情報などが含まれていた。フィッシング詐欺師たちは、従業員のコンピュータにマルウェアをインストールするために、上級社員を装っていた。^{[ 37 ]}

2015年、Wi-Fiハードウェアおよびソフトウェア専門メーカーのUbiquitiは、ハッカーによって約4700万ドルを失いました。攻撃者は、香港支店からUbiquitiの経理部門にフィッシングメールを送り、支払い口座の詳細を変更するよう指示しました。盗難が発覚すると、同社は法執行機関に協力し始めましたが、1500万ドルの回収を期待していたにもかかわらず、盗まれた資金のうち800万ドルしか回収できませんでした。^{[ 32 ] [ 38 ]}

2016年の米国大統領選挙中、ロシア軍参謀本部情報総局（GRU）と関係のあるハッカーが、Googleアラートを装ったフィッシングメールをヒラリー・クリントン陣営のメンバーに送りつけた。 ^{[ 39 ]}選挙対策委員長のジョン・ポデスタを含む多くのメンバーが、パスワードがリセットされると思って入力したため、個人情報や数千通のプライベートメールや文書が漏洩した。^{[ 40 ]}この情報を使って、彼らは民主党下院選挙委員会の他のコンピューターに侵入し、マルウェアを仕込んだため、コンピューターの活動が監視され、漏洩した。^{[ 40 ]}

2017年に中国人民解放軍に関連したEquifaxのデータ侵害が発生し、1億5000万件以上の個人情報（社会保障番号、運転免許証番号、生年月日など^{）が流出したことを受け[ 41} ]、差し迫ったセキュリティリスクの危険性について警告が発せられた^{[ 42 ]} 。侵害の被害に遭った可能性のある人々のための正規のヘルプWebサイト（equifaxsecurity2017.com）が開設された翌日には、URLのわずかなバリエーションから194の悪意のあるドメインが予約され、人々が入力ミスをする可能性につけ込んだ^{[ 43 ] [ 44 ] 。}

2017年、2つの巨大テクノロジー企業、 GoogleとFacebookは、リトアニアの詐欺師によって1億ドルをフィッシング詐欺で騙し取られた。^{[ 45 ]}詐欺師はハードウェアサプライヤーになりすまし、2年間にわたって両社に偽の請求書を送付した。^{[ 46 ]}両社は高度な技術力を持っていたにもかかわらず、この金額を失ったが、後に盗まれた資金の大部分を取り戻すことができた。^{[ 47 ]}