プリテキスティングとは、攻撃者が捏造したシナリオ、いわゆる「口実」を用いて人を信用させ、機密情報を不正に引き出すソーシャルエンジニアリングの一種です。企業や組織だけでなく、個人も標的となるため、日常的なセキュリティ意識が重要になります。
目次
偽装詐欺を理解する：ソーシャルエンジニアリングの代表的な手法
「テクニカルサポート」を名乗る人物から、緊急対応が必要だとして一方的に電話がかかってきた経験はありませんか。その発信者は、問題をすぐに解決すると称して、個人情報やアカウントの詳細を尋ねてくるかもしれません。このような状況は、プリテキスティングと呼ばれるソーシャルエンジニアリング手法の一例です。
主に電話で行われるプリテキスティング詐欺は、個人情報や重要な情報を引き出すための状況を意図的に作り出す手口です。攻撃者は相手を安心させるため、インターネットサービスプロバイダのカスタマーサービス担当者や、別の支店・オフィスの同僚、組織のテクニカルサポート担当者など、正当な立場の人物になりすまします。さらに、詐欺に信憑性を持たせるため、事前に相手に関する情報を収集することもあります。
重要なのは、攻撃者と正規の発信者を見分けることです。一般的に、見知らぬ相手からの電話で個人情報（社会保障番号やアカウントのセキュリティに関する情報など）を求められた場合は、正規の発信者かどうかを確認することが重要です。いったん電話を切り、公式サイトなどで連絡先を確認したうえで、該当の組織に直接問い合わせて、本当に問題があるかを確認してください。
プリテキスティング攻撃の仕組み：段階的な流れ
- 標的の調査 – 攻撃者は、OSINT（オープンソースインテリジェンス）やソーシャルメディア、過去の情報漏えいなどを通じて調査を行い、個人情報や組織に関する情報を収集します。
- なりすまし – 攻撃者は、IT担当者やCEO、法執行機関の関係者など、信頼されやすい立場の人物になりすまします。権威や役職を利用することで正当性を装い、相手が指示に従いやすい状況を作り出します。
- 偽装工作 – 攻撃者は信頼性を高めるため、メールのなりすましや発信者番号の偽装、偽のオンラインプロフィールなどを利用します。さらに、ディープフェイク技術やAI生成音声が使われることで、真偽の判断が一層難しくなっています。
- 信頼関係の構築 – 攻撃者は心理的な手法を用いて相手の不安を和らげ、疑念を抱かせないようにしながら信頼関係を築こうとします。
- 機密情報の取得 – 相手は正規の組織とやり取りしていると信じ込み、知らないうちに認証情報や業務上の機密情報を提供してしまうことがあります。
- 入手した情報の悪用 – 取得された情報は、なりすましや金融詐欺、企業スパイ活動、さらなるサイバー攻撃などに悪用される可能性があります。
プリテキスティング攻撃の一般的な例
ビッシング
ビッシング（ボイスフィッシングとも呼ばれます）とは、攻撃者が電話や音声通信を用いて、銀行口座の情報やログイン認証情報、PII（個人識別情報）などの機密情報を不正に取得しようとするソーシャルエンジニアリング攻撃の一種です。「緊急対応が必要」などと不安をあおり、冷静な判断を妨げるケースが多く見られます。
フィッシング
図1. Heatstrokeのフィッシング攻撃の感染経路。感染経路はユーザや行動特性によって変化する可能性があることに注意してください。
テールゲーティング
サイバーセキュリティ分野におけるテールゲーティングとは、許可されていない人物が、正規の入館者に続いて立ち入り制限区域に侵入する物理的なセキュリティ侵害を指します。攻撃者は、新入社員や配達員、保守作業員などを装い、従業員の善意につけ込むことがあります。
おとり攻撃
おとり攻撃とは、サイバー犯罪者が人を誘導し、侵害された物理デバイスやデジタル資産を操作させる手法です。攻撃者は、USBメモリに「機密」や「従業員の給与」などの誤解を招く名称を付けるといった偽装工作を行い、接続を促します。その結果、マルウェア感染や情報漏えいにつながる可能性があります。
ロマンス詐欺
ロマンス詐欺とは、攻撃者が偽のソーシャルメディアアカウントや出会い系サイトのプロフィールを使い、恋愛関係を装って相手の信頼を得ようとするソーシャルエンジニアリングの手法です。信頼関係の構築には数週間から数ヵ月かかることもありますが、その後、偽の緊急事態や贈り物を理由に金銭を要求されるケースがあります。
スケアウェア詐欺
スケアウェア詐欺とは、偽の警告や脅迫的なメッセージで不安をあおり、行動を促すソーシャルエンジニアリング詐欺の一種です。ユーザーは自分のシステムがマルウェアに感染したと思い込まされ、修正プログラムを装った悪意のあるWebサイトへ誘導されることがあります。その結果、マルウェアのダウンロードや、クレジットカード情報などの機密情報の漏えいにつながる可能性があります。
プリテキスティングとフィッシングの違い
どちらもソーシャルエンジニアリングの手法ですが、プリテキスティングは直接的かつ個人的なやり取りと欺瞞を伴うのに対し、フィッシングは通常、悪意のあるリンクを含む大量のメールを使用します。ただし、両方の手法を組み合わせて多層的な攻撃を行うケースも少なくありません。
プリテキスティング攻撃を防ぐ方法
DMARC（ドメインベースのメッセージ認証、レポート、適合性）
DMARCは、メール送信者の正当性を検証し、なりすましメールを防ぐためのメール認証プロトコルです。SPF（Sender Policy Framework）およびDKIM（DomainKeys Identified Mail）と連携して動作し、メールの認証と完全性を確保します。
SPF（Sender Policy Framework）：組織のドメインを使用してメールを送信できるのは、承認されたメールサーバのみであることを検証します。
DKIM（DomainKeys Identified Mail）：暗号署名を用いて、メールが送信中に改ざんされていないことを検証します。
- DMARCポリシーの適用：組織は、認証に失敗したメールの処理方法（何もしない、隔離、拒否）を定義するポリシーを設定できます。厳格なDMARCポリシーを適用することで、ドメインスプーフィングを利用したなりすまし攻撃のリスクを大幅に低減できます。
セキュリティ意識向上トレーニングと検証
従業員がなりすましを含む詐欺手口を理解し、適切に対応できるようにするための定期的なサイバーセキュリティ研修は、組織全体のリスク低減に役立ちます。特に、以下の点を重視することが重要です。
不審な依頼を特定し、その正当性を確認すること
機密情報を共有したり、金融取引を承認したりする前に、公式な連絡先を通じて依頼者の正当性を確認すること
プリテキスティング攻撃で用いられる心理的な操作手法を理解すること
MFA（多要素認証）
MFA（多要素認証）は、ワンタイムパスワードや生体認証など、複数の認証要素を組み合わせて本人確認を行う仕組みです。これにより、万が一認証情報が漏えいした場合でも、不正アクセスのリスクを大幅に低減できます。
不審な活動を報告する体制の整備
組織は、従業員が不審な電話やメール、メッセージを速やかにITセキュリティチームへ報告できる体制を整えることが重要です。明確な報告フローを整備することで、潜在的な脅威を早期に検知し、被害の拡大を防ぐことが可能になります。
プリテキスティングに関する支援はどこで受けられますか？
TrendAI Vision One™ は、スケアウェアを含むさまざまな脅威が業務に影響を与える前に、検知・阻止・軽減するのに役立ちます。複数のセキュリティレイヤーを統合し、プリテキスティングをはじめとするソーシャルエンジニアリング攻撃への対策を支援します。
メールセキュリティ：フィッシングや悪意のあるリンク、なりすましメールを検知・ブロックし、メールを起点とした攻撃を防止します。
エンドポイントセキュリティ：アプリケーション制御やサンドボックス機能を活用し、不審なファイルや挙動を可視化・防御します。
XDR：メール、エンドポイント、ネットワーク、クラウド全体のデータを関連付け、攻撃の全体像を可視化することで、迅速な調査と対応を可能にします。
統合型セキュリティプラットフォーム：ソーシャルエンジニアリングやスケアウェアに対する高度な防御機能を提供し、組織全体のセキュリティ体制強化を支援します。
よくあるご質問（FAQ）
プリテキスティングとは何ですか？
プリテキスティングとは、攻撃者が信憑性のある作り話を用いて相手を信用させ、機密情報を不正に取得したり、アクセス権を付与させたりするソーシャルエンジニアリングの手法です。
プリテキスティングはどのように機能しますか？
プリテキスティングは、捏造したシナリオを用いて信頼関係を築き、権威ある立場の人物になりすますことで相手を説得し、機密情報を共有させたり、不適切な操作を行わせたりします。
プリテキスティング攻撃の例を教えてください。
代表的な例として、攻撃者がITサポート担当者を装い、本人確認情報を求めることで、従業員からパスワードや重要なシステム情報を不正に取得するケースが挙げられます。
プリテキスティングとフィッシングの違いは何ですか？
プリテキスティングは、捏造したシナリオと直接的なやり取りを通じて情報を引き出す手法です。一方、フィッシングは、偽のメールやメッセージを用いてログイン情報や機密データを不正に取得しようとする手法です。
プリテキスティング詐欺を防ぐにはどうすればいいですか？
強力な本人確認手続きの導入、従業員向け研修の実施、MFA（多要素認証）の活用、厳格なデータ処理ポリシーの策定に加え、すべての通信チャネルにおいてゼロトラストの考え方を適用することで、プリテキスティングのリスクを低減できます。