conducting-social-engineering-pretext-call

ソーシャルエンジニアリングの口実電話を実施する

概要

口実電話（ビッシング）は、攻撃者が電話で信頼されている権威者になりすまし、標的を操って機密情報を漏えいさせたり、何らかの操作を実行させたり、アクセス権を取得したりするソーシャルエンジニアリング手法です。レッドチームの活動では、口実電話を使ってセキュリティ対策における人的要素をテストし、従業員が本人確認手順を守っているか、セキュリティ意識向上トレーニングが有効かを測定します。MITRE ATT&CK では、T1566.004（情報を狙ったフィッシング：音声）および T1598（情報を狙ったフィッシング）に該当します。

使用する場面

• ソーシャルエンジニアリングの口実電話を伴うセキュリティ評価を実施する場合
• 関連するセキュリティインシデントに対するインシデント対応手順に従う場合
• 予定されたセキュリティテストや監査活動を実施する場合
• 実地テストを通じてセキュリティ対策を検証する場合

前提条件

• ソーシャルエンジニアリングの対象範囲と境界を明記した書面による承認
• 承認済みの標的従業員リスト（通常はクライアントから提供されます）
• 標的と組織に関する OSINT 調査
• 発信者番号の偽装機能（テスト用に承認済み）
• 通話録音機器（法律で求められる場合は同意を得ること）
• クライアントが承認した口実シナリオ

MITRE ATT&CK マッピング

テクニック ID	名称	戦術
T1566.004	フィッシング：音声	初期アクセス
T1598	情報を狙ったフィッシング	偵察
T1598.003	情報を狙ったフィッシング：標的型音声フィッシング	偵察
T1589	被害者の ID 情報を収集	偵察
T1591	被害者の組織情報を収集	偵察

フェーズ 1：OSINT と標的の調査

# LinkedIn employee enumeration
theHarvester -d targetcorp.com -b linkedin -l 200

# Company org chart and employee roles
# Review LinkedIn, corporate website "About Us" / "Team" pages

# Technology stack identification
# Check job postings for technology references (VPN vendor, email, helpdesk tool)

# Phone system identification
# Call main line, note IVR options, department names, extension patterns

収集する主な情報：

• 社内ヘルプデスクの電話番号と手順
• IT 部門の名称とスタッフ
• VPN／リモートアクセスのベンダー（Cisco AnyConnect、Fortinet、Pulse Secure）
• 企業のメールアドレス形式（first.last、flast など）
• 最近の出来事（合併、オフィスの移転、システムのアップグレード）
• 従業員の氏名、役職、部門

フェーズ 2：口実の作成

よくある口実シナリオ

IT ヘルプデスクへのなりすまし（最も効果的）：

「こんにちは。IT サービスデスクの[name]です。今週、全員を新しい VPN クライアントに移行しているのですが、お客様のアカウントはまだ更新されていないようです。移行がスムーズに進むよう、現在の認証情報を確認する必要があります。ユーザー名と現在のパスワードを教えていただけますか？」

ベンダー／請負業者：

「こんにちは。[known vendor]の[name]です。[product]の緊急パッチを展開しており、お使いのシステムへのリモートアクセスが必要です。TeamViewer で接続できるよう、ご協力いただけますか？」

役員秘書（権威者）：

「[CFO name]に代わって電話しています。[He/She]は本日締結予定の取引について、至急、電信送金の手続きを進める必要があります。詳細はメールでお送りしますが、1 時間以内に処理する必要があります。」

ビル管理／施設管理：

「こんにちは。施設管理部門の[name]です。今週末に入館証アクセスシステムを更新します。アクセスに支障が出ないよう、従業員 ID と現在の入館証番号を確認させてください。」

口実のチェックリスト

• この組織にとって信じられる口実ですか？
• 脅迫的にならず、適切な緊急性を生み出していますか？
• OSINT の調査結果（実在する部門名やシステム）と一致していますか？
• 情報を求めるもっともらしい理由がありますか？
• 標的が拒否した場合の代替案はありますか？
• クライアントはこの特定の口実を承認していますか？

フェーズ 3：通話の実施

通話の構成

1. 導入（10秒）：名前、部署、電話の理由を伝えます
2. 信頼関係の構築（30秒）：最近の出来事や共通の話題など、実際の情報に触れます
3. 権威の確立（20秒）：上司の名前、チケット番号、緊急性に触れます
4. 情報の要求（30秒）：目的の情報を自然に尋ねます
5. 反論への対応：疑われた場合は、準備した回答を落ち着いて伝えます
6. 締めくくり（10秒）：感謝を伝え、疑念を残さないようにします

反論への対応

反論	回答
「折り返し電話してもよいですか？」	「もちろんです。代表のヘルプデスクの電話番号にかけて、［名前］を呼び出してください。ただし、これは本日中に完了する必要があります。」
「確認する必要があります」	「もちろんです。慎重に確認していただき、ありがとうございます。［上司の名前］に確認できます。」
「パスワードは絶対に教えてはいけないと言われています」	「おっしゃるとおりです。通常はお尋ねしません。今回は［理由］により、特別な対応が必要です。上司からお電話するよう手配できます。」
「従業員 ID は何ですか？」	話題をそらす：「［架空の ID］です。あの、今日はあと 50 人に電話しなければなりません。これを済ませてしまってもよいですか？」
「代わりに IT にメールします」	「もちろんです。ただ、システム移行は今夜行われます。それまでに完了しないと……」

フェーズ 4：データ収集と指標

各通話について、以下を記録します。

指標	説明
対象者名	電話をかけた従業員
部署	対象者の部署
日付／時刻	電話をかけた日時
通話時間	通話の長さ
使用した口実	使用したシナリオ
入手した情報	開示された内容
認証情報の開示	はい／いいえ（種類も記録）
確認の試み	対象者は発信者を確認しようとしたか
セキュリティ部門への報告	対象者は電話を報告したか
ソーシャルエンジニアリングスコア	だまされやすさの評価（1～5）

フェーズ 5：レポート

成功指標

指標	目標	結果
認証情報の開示率	<10%	XX%
機密情報の開示率	<20%	XX%
確認率	>80%	XX%
セキュリティ部門への報告率	>50%	XX%

倫理的および法的な考慮事項

1. ビッシングテストを実施する前に、必ず書面による承認を得てください
2. 脅迫的な言葉を使ったり、実際の恐怖を与えたりしないでください
3. 通話録音に関する同意と法的要件を記録してください
4. 開示された認証情報を保護し、直ちにクライアントに報告してください
5. クライアントの承認を得たうえで、実施後に対象者へ説明してください
6. 失敗した特定の従業員を公に特定しないでください
7. 管轄地域の電気通信法を遵守してください

参考資料

• Verizon DBIR 2025：侵害の 74% に人的要因が関与
• MITRE ATT&CK T1598：https://attack.mitre.org/techniques/T1598/
• Gavin Watson 著『Social Engineering Penetration Testing』（Syngress）
• Kevin Mitnick 著『The Art of Deception』（Wiley）
• NIST SP 800-50：情報技術セキュリティの意識向上とトレーニングプログラムの構築