Pretexting

プリテキスティング（Pretexting）とは、攻撃者が架空のシナリオ（プリテキスト＝口実）を作り上げ、標的から機密情報を引き出したり、特定の行動を取らせたりするソーシャルエンジニアリング手法です。攻撃者はIT技術者、銀行員、警察官、同僚、取引先担当者など、信頼される人物になりすまし、もっともらしいストーリーで標的を欺きます。

プリテキスティングの本質は、人間の信頼性に対する攻撃です。技術的な脆弱性ではなく、「権威者には従うべき」「困っている人を助けるべき」「急ぎの依頼には即座に対応すべき」といった人間の心理的傾向を悪用します。攻撃者は標的の組織、業務プロセス、社内用語を事前に調査し、極めて自然な会話を通じて情報を引き出すため、被害者が攻撃に気づかないケースも少なくありません。

近年では、SNSやLinkedInなどの公開情報を活用した事前調査（OSINT）の高度化により、プリテキスティングの精度が飛躍的に向上しています。攻撃者は標的の上司の名前、プロジェクト名、最近の出張先などの情報を事前に収集し、よりリアルな偽シナリオを構築します。企業における情報漏洩インシデントの多くにプリテキスティングが関与しており、技術的対策だけでは防ぎきれない脅威として認識されています。

架空シナリオの構築技法

プリテキスティングの成功は、攻撃者が構築するシナリオの説得力に大きく依存します。効果的なプリテキストには、標的が疑問を持たないだけの「もっともらしさ」と、即座の行動を促す「緊急性」、そして標的に心理的な負い目を感じさせない「正当性」が必要です。

典型的なシナリオとして、「IT部門からの緊急メンテナンス連絡」「監査法人からの確認依頼」「新任の上司からの資料要求」「取引先からの請求書に関する問い合わせ」などがあります。攻撃者はこれらのシナリオを通じて、パスワード、社内システムへのアクセス権限、財務データ、顧客情報などを段階的に入手します。

権威者への偽装（Authority Impersonation）

人間は権威ある立場の人物からの要求に従いやすいという心理的傾向があります。攻撃者はこれを利用し、CEO、CTO、法務部長、外部監査人など、権威のある人物になりすまします。この手法は特に電話やメールで効果的であり、相手の顔が見えない状況では声のトーンや話し方だけで信頼を得ることが可能です。

権威者への偽装は、BEC（ビジネスメール詐欺）と密接に関連しています。CEOになりすまして経理担当者に緊急の送金を指示するケースは、プリテキスティングとBECが融合した典型的な攻撃パターンです。攻撃者はターゲット企業の組織図や意思決定プロセスを事前に調査し、最も効果的な権威者の役割を選択します。

信頼構築テクニック（Rapport Building）

高度なプリテキスティングでは、攻撃者は一度の接触で情報を引き出すのではなく、複数回の接触を通じて段階的に信頼関係を構築します。最初の接触では無害な質問だけを行い、徐々に機密性の高い情報へとアクセスしていきます。

信頼構築のテクニックとして、共通の知人や経験への言及、相手の業務への理解と共感の表明、小さな親切や情報提供による「返報性の原理」の利用、適度な自己開示による親近感の醸成などが用いられます。これらの心理操作技法は、詐欺師やスパイが古くから使用してきた手法であり、サイバーセキュリティの文脈でも極めて有効です。

情報収集（Information Elicitation）

プリテキスティングにおける情報収集は、直接的な質問ではなく、会話の自然な流れの中で情報を引き出す技法が用いられます。これを「エリシテーション（Elicitation）」と呼びます。例えば、「○○部長は今日いらっしゃいますか？」という質問は、部長の在席状況を確認するだけでなく、組織構造や部長の名前が正しいかを検証する手段にもなります。

攻撃者は段階的にパズルのピースを集めるように、複数の社員から断片的な情報を収集し、全体像を組み立てます。個々の情報は機密性が低いように見えても、組み合わせることで重大な情報漏洩につながるため、「些細な情報」の共有にも注意が必要です。

企業スパイ活動との関連

プリテキスティングは企業スパイ活動（コーポレートエスピオナージ）の主要な手法の一つです。競合企業の製品開発情報、価格戦略、顧客リスト、技術仕様などを入手するために、攻撃者はヘッドハンターや業界アナリスト、潜在的な取引先などを装って接触します。

国家支援型の攻撃者も、プリテキスティングを積極的に活用しています。学術研究者やジャーナリストを装って防衛関連企業の技術者に接触し、機密技術情報を引き出すケースが各国の情報機関により報告されています。これらの攻撃は長期にわたる信頼関係の構築を伴うため、検知が極めて困難です。

• 01
  本人確認プロセスの厳格化：電話やメールで機密情報の提供や重要な操作を依頼された場合、必ず別の連絡手段（社内電話帳に記載された番号への折り返し電話など）で依頼者の身元を確認してください。発信者番号やメールアドレスだけでは偽装が容易なため、それだけを信頼しないことが重要です。
• 02
  情報分類と開示ルールの明確化：組織内の情報を機密レベルごとに分類し、各レベルの情報を開示できる条件と承認者を明確に定めてください。「誰が」「どのような手続きを経て」「どの情報を」開示できるかを文書化し、全従業員に周知することで、プリテキスティングに対する組織的な耐性を高めます。
• 03
  ソーシャルエンジニアリング訓練の実施：実際のプリテキスティング手法を模擬した訓練を定期的に実施してください。電話での情報聞き出しテスト、偽の業者による物理的な侵入テストなど、実践的なシナリオを通じて従業員の警戒意識を高めます。訓練後のフィードバックと改善策の共有が特に重要です。
• 04
  SNSにおける情報公開の最小化：従業員に対し、SNSやLinkedInでの業務関連情報の公開を最小限にするよう指導してください。役職、担当プロジェクト、使用技術、出張先、社内イベントなどの情報は、攻撃者がプリテキストを構築するための材料となります。SNSポリシーを策定し、公開可能な情報の範囲を明確化しましょう。
• 05
  緊急要求・異例の依頼に対する検証プロセス：「至急」「今すぐ」「誰にも言わないで」といった緊急性や秘匿性を強調する依頼は、プリテキスティングの典型的な手口です。このような依頼を受けた場合は、必ず上長への相談や複数人での確認を行うルールを設けてください。正当な依頼であれば、検証プロセスを経ても問題はないはずです。
• 06
  インシデント報告文化の醸成：不審な電話やメールを受けた場合に、気軽に報告できる文化と仕組みを構築してください。報告者が責められることなく、むしろ称賛される環境を作ることで、プリテキスティングの早期検知と被害防止につながります。報告された事例は匿名化した上で組織全体に共有し、類似攻撃への警戒を促しましょう。