ソーシャルエンジニアリング

ソーシャルエンジニアリング
高専カンファレンスin富山

渥美清隆(BH)

2012/11/17 (c) 2012 kiyotaka@ka-lab.jp 1

アジェンダ
● 始める前に
● 我々は本当に存在しているのか？
● ソーシャルエンジニアリングとは？
● ケーススタディ
● 情報化社会の未来，あるいは過去


アジェンダ
● 始める前に


始める前にしなければ
ならないことがあります．


(省略)


すみません，
本題入ります．


アジェンダ
● 始める前に


テーマとの関係

Beyond the Border
Between 文系 and 理系

参考 weblio: http://ejje.weblio.jp/content/social+engineering


勝手訳：
文系と理系の垣根を超えて



勝手訳：
文系と理系の垣根を超えて
融合
Social Engineering
社会工学

つまり，


使えるものは何でも使って
攻撃しようぜ(ﾟ∀ﾟ)ｷﾀｺﾚ!!


昔からあるんだけどね...
● スパイ・諜報活動とか，
● トロイの木馬とか，

● ハニートラップとか，

● 美人局とか，

● and so on...


ex) トロイの木馬

出典 Wikipedia: http://ja.wikipedia.org/wiki/トロイアの木馬

さて，突然ですが，


自分の存在を
証明できますか？


自分の存在を証明する
● 身分証明書を使う
– 偽造じゃない？
● 友人に示してもらう
– 友人が存在する証明は？
● 住民票や戸籍謄本を示す
– 役場って本当に存在するの？

絶対に存在すると信じられる
「信頼の起点」がない．

デカルトは考える
● 視覚，聴覚，嗅覚，味覚，触覚は全て悪魔の仕業
● 1+1=2だって悪魔の仕業
● いろいろな思いつきも悪魔の仕業
● 映画「MATRIX」のような世界
● 信じられるものは何もない！
● でも，それを考えている自分自身は否定出来ない


だから，


我思う，ゆえに我あり
Cogito ergo sum


Are you sure?


自分は納得しても，
人を説得できない！


諦めよう...
(´；ω；｀)ﾌﾞﾜｯ


色即是空空即是色，
この世は全て夢幻よ．
夢から覚めれば全て解決．

カーツ！(by 錯乱坊)


改めて，人の存在証明
● 残念ながら我々は夢から覚めません．
存在を求めるのは幻を求めるようなもの.
● それでも，話をすれば応えてくれる(と思える)．
● 変顔すれば誰かが笑ってくれる(と思える)．
● 叩けば痛い(と思える)．
● 記録や記憶も一応ある(と思える)．

つまり，


コミュニケーションが相対的に
自分の存在証明をしてくれる．


ゆるい関係...

素晴らしい


そこに別の意図を持った
コミュニケータが現れたら...


アジェンダ
● 始める前に


ソーシャルエンジニアリングとは，

コミュニケーションで人を動かし，
自分の意図した成果を得ること


のための「その１」


自らの身を隠せ！
(なりすまし)


電子メールの場合

ここを変えるだけ


郵便物では...

内容証明・配達証明郵便で，
勝手な差出人を書く


郵便物では...

郵便局員に聞かれても，
代理ですと言えば通る！
(確認済）


注意

返信を期待するなら...

詐称しつつ受け取れる所が必要


のための「その2」


ターゲットの徹底調査！


情報の取得
● 好きな料理
● レビュー
● 家族
● スポーツチーム
● 興味・関心
● 癖
● 周囲の人の関係
オフラインからも盗る！

のための「その3」


嵌めるための筋書き


筋書き
● 慈善福引受付担当者になりすまし
● ターゲットの社長に資料を郵送，以下のものが当
たると謳う．
– 人気のレストランの食事券(社長がよく利用する)
– 野球の試合の入場券(社長の応援チーム)
● 適当なタイミングで電話．詳細の連絡と登録のた
め電子メールアドレスを要求．社長応える．
● トロイの木馬付きPDFファイルをメール送付．
出典 ITPro: 本当は怖い「ソーシャル・エンジニアリング」
http://itpro.nikkeibp.co.jp/article/Watcher/20121106/4353
82/?ST=security&P=1

つまり，
ソーシャルエンジニアリングとは，


人をハックすること！
Σ(ﾟдﾟlll)


アジェンダ
● 始める前に


もう少し簡易な
ケーススタディ2つ


ケーススタディその1(条件)
● ターゲット：α高専のパワハラ教授と被害学生
● 目的：パワハラ教授の「私の講義を1回でも休んだ
ら不可にしてやる」の口を塞ぎ，被害学生が安心
して外部の勉強会に参加出来るようにする．
● 期限：2週間

さて，皆さんならどうします？
病欠参加? 安心は出来無さそうですね．
校長意見箱？ Time over

ケーススタディその1(筋書き)
● 攻撃者は機構本部の発言力のある情報系委員に
なりすまし，その立場を活用
● 機構本部に以下のように連絡

「おめでとうございます．この勉強会に参加できる
のは特別に優秀な学生だけなので，是非広報しま
しょう」

→ α高専総務課と協議に入る


● α高専情報処理センター長に以下のように連絡

「おめでとうございます．この勉強会に参加できる
のは特別に優秀な学生だけなので，安心して参加
出来るようにご配慮下さい」

→ 校内で協議
● 挟むような情報伝達で学校全体を歓迎ムードにし
て当該学生を送り出さざるを得なくする．
＼(^o^)／


ケーススタディその2(条件)
● ターゲット：Facebook上の特定ユーザ
● 目的：精神的に追い詰めるいじめをする．
● 期限：無期限
ただし，開始日を出来るだけ揃える

さて，皆さんならどうします？
ターゲットにされることも考えて．


● 特になりすまさず，攻撃者とターゲットの共通の友
人を活用
● 共通の友人に，ターゲットの悪評を吹き込む．
● 共通の友人は，攻撃者に同情し，あるいは義憤に
かられる．
● さりげなく，Facebookの設定変更を促す．


ターゲットのメッセージを削除
ターゲット

選択


自分のメッセージを
ターゲットに送らない
クリック

クリック
リストにターゲットを
入れる

● 共通ユーザがことごとくターゲットのメッセージに
無反応になる．「いいね」もくれない．
● 共通ユーザからのメッセージがターゲットに届か
なくなる．「いいね」も出来ない．
● ターゲットはネット上でシカトされる状態となる．
((((；ﾟДﾟ))))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ
● 共通ユーザは罪悪感を持たない．
● 誰が裏で糸を引いているかも分からない．


ターゲットにされてしまったら
● 急に反応が変わった友達を洗い出す．
● その人が本当に友達かどうか吟味する．
● 友達ではなければ，友達リストから外す．
● 友達だと思えば，メッセージ機能や別手段で状況
を確認する．
● 何かしないと，精神的に不安定になって危ない．


アジェンダ
● 始める前に


何が問題なのか
● 人は脆弱なコミュニケーションによって支えられて
いる．
● 脆弱だと感じていない人が多い．
● 難しい判断を避けたがる．肩書きなどテンプレート
マッチングに走る．
● ちょっとくらい声色が違っても，最初のセリフに誘
導されてしまう．(正常性バイアス)
● and so on...


それは解決されるのか？
● 人はそんなに急に変われない．
● 誰でも攻撃者になれる材料は揃った．
● 今後，ますます被害者が増える．
● 秩序も法律も追いつかない．
● 暫くは混沌とした時代が続くのではないか？


私達に出来ることは無いのか？
● 普段から，人に興味を持って接する．
● 人やコンピュータに対して，「普段と何か違う」とい
うことを感じる感性を持つ．
● 一人で抱え込まない．必ず誰かに相談する．
● 他者に自分の意思をはっきり伝える．


おわり


ソーシャルエンジニアリング

Recommended

Recommended

More Related Content

Similar to ソーシャルエンジニアリング

Similar to ソーシャルエンジニアリング (17)

Recently uploaded

Recently uploaded (17)

ソーシャルエンジニアリング