ノート:ソーシャル・エンジニアリング

記述について

概要に記述されている、手口についてなのですが、その中にキーロガーを使用した方法が紹介されています。しかし、キーロガーを使っての方法は、少々毛色が違うものではないかと思うのですが、どうなのでしょうか（当方、この分野はあまり詳しくないのですが、web上で見た限り、そのような感じを受けています）？一応、コメントアウトという形をとってはあるのですが・・・--koon1600 2007年9月11日 (火) 21:58 (UTC)

編集お疲れ様です。仰る様に、キーロガーそのものは一寸違う分類にすべきと存じます。とは言え、冒頭にファーミングを含む旨の表記があり、これからするとキーロガーも含む、と考えられるのかも知れません。まぁ、ファーミングまで立ち戻ると、例えばDNS詐称の例で言えば、手許のhostsファイルを書き換えるか、DNSサーバをクラックする、という事で、実はコンピュータに手を加えているということになります。そうすると、大本の「コンピュータに手を加えない」という前提から外れますので、実は「ファーミング」について直接含めるのは良くないのかな、と存ずる次第です。

改めて考えるに、ソーシャル・エンジニアリング、という語は、人間の心理的な隙をつくという括りで宜しいでしょうか。この点を確認できれば、それに合わせてファーミング、キーロガーは、別物、という区別をして纏めなおす事が出来ると存じます。スキミングも、一寸違う気がしますが、そう含める文書・資料もあるのかな、そこも確認しないとなりませんね。

或いは、狭義の～（＝ソーシャル・ハッキング、ソーシャル・クラッキング）、と、広義の～、と括り方を分けて記述するのも手でしょうね。以上、取りとめもないですが、拙速に。東 遥 2007年9月12日 (水) 00:35 (UTC)

ちょっと、英語版を見てきました。向こうにもキーロガーの記述はあるのですが、ソーシャル・エンジニアリングとしては「キーロガーでパスなどを盗む」行為ではなく「（心理的な隙を突いて）キーロガーを仕掛けさせる」行為のようです。英語版では、ロードアップル（路上にフロッピーなどの記録媒体を放置して、それを持って帰らせて、その人のPCに入れさせて感染させる方式）なる手口が紹介されていましたね（「好奇心」という人の心理的隙を突いたもののようです）。これから考えるに「ファーミングに自発的に引っかかるように仕向ける（ページ開くのが早くなる、裏物が見れるetc...で釣る）行為」はソーシャル・エンジニアリングにはいるのでしょうが「ファーミングでパスワードを盗む」行為は含まれないと考えたほうがよいようです。

この記事、日本語版では2003年からあり（驚いたことに英語版より早いですね）、古い記事ではあるのですが、どうも文脈や言葉の言い回しが明確ではなく、記事として誤解を与えやすい感じもあります。また、今並べられているものについても、本質的には「後ろに立って見ること」ではなく「後ろに立ったらパスが見えてしまうという油断（心理的隙）を突いた」行為であるということが、わかるようにしたほうがいいかもしれませんね。英語版は、要出典が貼り付けられている上、米国法や米企業の対応など、アメリカ中心になっている記事なので、翻訳しないほうがいいですね。--koon1600 2007年9月13日 (木) 23:06 (UTC)おかしな箇所を修正--koon1600 2007年9月13日 (木) 23:07 (UTC)

御意見賜り恐縮です。私もちょっと英語版を見てみましたが、「心理的な隙をついて」という括りはひとまず宜しい様ですね。成る程、ロードアップル、ですか。

インデント戻しまして、関連の項目を検索かけて牽いて見ますと、

• IT用語辞典の当該項目 - 「社会的手段」という視点
• @IT セキュリティ用語辞典の当該項目 - 侵入に必要なID,パスワードを「物理的に獲得する」
• @IT セイキュリティのつぼ(2) - 「なりすまし」による情報入手方法を紹介、また、所謂セキュリティホールを実社会の生活の中に求める視点。
• 国内におけるソーシャル・エンジニアリングの実態調査 - 株式会社ギャブコンサルティングの調査結果、当該頁内にPDFにまとめられた文書がある。
• IT media エンタープライズによる解説、トップ頁 - 多角的視点から捉えている。たとえば、営業トークに通ずる心理的作戦を用いるなど。

改めて見ていますと、なかなか面白いお話が出てきますね。物を介した手口（ショルダーハッキング、ロードアップル）、口頭で「なりすまし」による情報窃取、とみますと、いずれも「心理的な隙をついて」という事で、その中に大別してその2つがある、という纏め方もできるかな、と存じます。まだまだ案ですが。東 遥 2007年9月16日 (日) 03:00 (UTC)

なるほど。pdfのやつには「スパイウェア（トロイ）を仕込んで、情報を得る」方法もソーシャルエンジニアリングに入っていますね・・ただ、調査が7年前のものですから、今とでは少し感じが違うのかもしれません。物と口頭に分けられるというのは、賛成ですね。全体として、どこまでが「ソーシャル・エンジニアリング」なのかが曖昧だなあ、というのは感じますが、難しいところです（あんまり勝手に線引きすると、独自研究になってしまいますし・・）。ただ私は、これについて深い知識はないですから、実際のところは東 遥さんにお任せするしかないかなあと思っています・・--koon1600 2007年9月17日 (月) 13:32 (UTC)

御返事が遅くなりすみません。私自身も、一応はその筋の業界人だったのですが、人を騙し欺き裏切るところは不得手なもので(笑)、どこまで纏めきるか、ちょっと不安な所もあります。まぁ、色々と付け足していけそうな素材が見つかりましたので、この際、秋の加筆コンクールに出す「意気込み」で纏めてみようかと存ずる次第です。が、生来不得手な分野ですので、適宜ご意見を賜れば幸いに存じます。多分、10月下旬に編集に入れるかと存じます。東 遥 2007年10月5日 (金) 18:23 (UTC)

ありがとうございます。調整くらいは手伝えるかもしれませんが・・よろしくおねがいします。--koon1600 2007年10月7日 (日) 14:52 (UTC)

最近ＡＴＭの生体認証を「指紋」と勘違いされているＡＴＭ利用者が非常に多く困っておりました。たまたま見たwikiの記事でまさかここでも間違えがあるのかとびっくりして、慌てて修正させていただきました。　wikiを信じている人が多いので間違った情報が広まらないように直しました。。ロド 2010年1月31日 (日) 20:11 (UTC)