Wikipediaより
ソーシャル・ハッキングは、人間の心理的な隙をついて、個人が持つ秘密情報を聞き出す方法のこと。
ソーシャル・エンジニアリング、ソーシャル・ワークとも呼称される。
近頃良く聞く
フィッシングや
スキミングは、行為自体はコンピュータ内で閉じているが、人間心理的な隙をついている点では同様である。
元来は、コンピュータ用語で、コンピュータウイルスやスパイウェアなどを用いない(つまりコンピュータ本体に被害を加えない方法)で、パスワードを入手し不正に侵入(クラッキング)するのが目的。この意味で使用される場合は
ソーシャルハッキング、
ソーシャルクラッキングとも言う。
以下のような方法が、よく用いられる。
* 重役や上司(直属でない・あまり親しくない)、重要顧客、システム管理者などと
身分を詐称して電話をかけ、パスワードや重要情報を聞きだす。
* 現金自動預け払い機などで端末本体を操作する人の後ろに立ち、パスワード入力の
際のキーボード(もしくは画面)を短時間だけ凝視し、暗記する(
ショルダーサーフィン)。
* IDやパスワードが書かれた紙(付箋紙など)を瞬間的に見て暗記し、メモする。
ディスプレイ周辺に貼り付けられていることが多い。
* 特定のパスワードに変更することで特典が受けられるなどの偽の情報を流し、
パスワードを変更させる(日本において、この手法でパスワードを不正入手した
未成年が2007年3月に書類送検されている)。
コンピュータのパスワードを入手するだけでなく、クレジットカードやキャッシュカードについて暗証番号を聞き出し、盗難カードや偽造カードで不正出金を行う手口にも用いられる。電話で連絡を取り、
* 警察を名乗り、逮捕した不審者が持っていたカードの確認を行うために暗証番号を聞き出す
* 信販会社を名乗り、手違いで余分に引き落とした決済金を口座に返金するために暗証番号を聞き出す
暗証番号は、カードの会社・金融機関等が用意した端末以外に入力するべきではない。カードの会社等の担当者ですら、聞く事はあり得ないと言ってよい(暗号化されており解析不可能)。暗証番号は自分の脳内にのみ記憶し、他の物に書き込んだり、いかなる人間であろうと教えるべきではない。
また、直接暗証番号を尋ねずに、生年月日等の個人情報を尋ねて預金の不正引出に及んだ例もある。これは生年月日を暗証番号として設定していた事例である。