サイバーセキュリティ書籍セレクション: 攻撃ベクトルとしての人間

全9回の第7回。ソーシャルエンジニアリング、フィッシング、そして影響力の心理学。

技術畑の人にもこの回を勧める理由は単純だ。境界に積み上げた投資は、電話一本で迂回される。

実務から集めたシナリオ集。誰も何も破っておらず、ただ電話して頼んだだけ、という話が数十本並ぶ。各話のあとには、本来どの手続きが止めるべきだったかの分析が付く。

テーマ: プリテキスティング、組織の上下関係の利用、情報を小分けに集める、ヘルプデスクや秘書への働きかけ、ポリシーの整備と従業員教育。

続編。今度は当事者たちの証言を集めて構成されている。技術的な中身がはっきり増えている。

テーマ: 社会的手法と技術的手法の組み合わせ、カジノや銀行への攻撃、産業スパイ、設定ミスという入口、各事例を守り手の視点から読み直す。

ミトニックが物語として提示したものを体系化した本。逸話ではなく方法論として扱う。

テーマ: 公開情報からの収集、なりすましの筋書きの作り方、非言語のサインと微表情、信頼を築く手法、業務としての診断に使う道具、社員向け教育プログラム。

ひとつの経路だけを扱う狭い本。ただしその経路がもっとも数を集める。

テーマ: フィッシングメールの解剖、標的型フィッシングとその準備、社内の訓練メールと正しい指標の取り方、メールの技術的な防御、成功してしまった攻撃への対応。

セキュリティの本ではないが、あらゆる社会的攻撃はまさにこの仕組みの上に成り立つ。ミトニックもハドナジーも本書を引いている。

テーマ: 返報性、コミットメントと一貫性、社会的証明、好意、権威、希少性。

長く職業として身を隠してきた人物による、個人のプライバシーの実践的な手引き。

テーマ: パスワードと二要素認証、ファイルや写真のメタデータ、ブラウザでの追跡、メールとメッセンジャーの安全、公衆Wi-Fi、デジタルな痕跡を残さない買い物と移動。

この回全体の土台。人はなぜ予測できる形で誤るのか、そしてその誤りはなぜ再現可能で、ゆえに悪用可能なのか。

テーマ: 二つの思考システム、ヒューリスティクスと認知バイアス、確率の見積もり、時間に追われたときの振る舞い、リスク評価における誤り。

次回: ノンフィクションの調査報道。

シリーズ全体:

1. 基礎
2. 攻撃側のセキュリティ
3. リバースエンジニアリングとマルウェア
4. 暗号
5. アプリケーションセキュリティ
6. 防御とインシデント対応
7. 攻撃ベクトルとしての人間
8. ノンフィクションの調査報道
9. フィクション