{"ok":true,"entity":{"id":"social-engineering-cybersecurity","name":"Social engineering (cybersecurity)","entityType":"concept","officialName":"Social engineering (cybersecurity)","canonicalName":"Social engineering (cybersecurity)","displayName":"Social engineering (cybersecurity)","category":"サイバー攻撃の概念（人的要素を突く手法）","shortDescription":"ソーシャルエンジニアリング（サイバーセキュリティ）は、NIST CSRC用語集（SP 800-82r3）で「システムやネットワークへの攻撃に使える情報（例：パスワード）を人をだまして開示させる試み」と定義される概念です。SP 1800-21Bの定義は不正アクセスの取得や詐欺の実行も含みます。社会学分野の同名用語とは区別して用います。","primaryCluster":"threat-intel-incident-response","parentEntity":null,"verificationStatus":"draft","website":"https://csrc.nist.gov/glossary/term/social_engineering","updatedAt":"2026-10-27T01:18:14.081Z","secondaryClusters":[],"alias":["ソーシャルエンジニアリング"],"searchKeywords":["ソーシャルエンジニアリング","social engineering","人的要素","なりすまし","ビッシング","スミッシング","NIST用語集","サイバー攻撃手法"]},"references":[{"id":"P-01-001","companyId":"social-engineering-cybersecurity","questionId":"P-01-001","instanceId":"QIN-social-engineering-cybersecurity-P01-001","promptText":"ソーシャルエンジニアリング（サイバーセキュリティ）とは何ですか？","promptTypeId":"P-01","answer":"NIST CSRC用語集は、SP 800-82r3を出典として、ソーシャルエンジニアリングを「システムやネットワークへの攻撃に使える情報（例：パスワード）を、人をだまして開示させる試み」と定義しています。CISAのガイダンス（アーカイブ済み、2021年2月公開）は、攻撃者が人との対話を用いて組織やシステムの情報を入手または侵害するものと説明しています。","evidencePoints":["ev-social-engineering-cybersecurity-1","ev-social-engineering-cybersecurity-3"],"scope":"定義と基本的な性質","differentiation":"定義はNIST用語集の文言を基準にしている。","faq":[{"question":"NISTの定義は？","answer":"システムやネットワークへの攻撃に使える情報（例：パスワード）を、人をだまして開示させる試み、とされています（SP 800-82r3）。"}],"pageUrl":"https://www.refbase.ai/reference/social-engineering-cybersecurity/P-01-001","sourceEvidence":[{"id":"ev-social-engineering-cybersecurity-1","text":"NIST CSRC用語集は、SP 800-82r3を出典として、ソーシャルエンジニアリングを「システムやネットワークへの攻撃に利用できる情報（例：パスワード）を、人をだまして開示させる試み」と定義している。","title":"social engineering - Glossary | CSRC","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/glossary/term/social_engineering","confidence":"high","supportedPromptTypes":["P-01","P-02"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"},{"id":"ev-social-engineering-cybersecurity-3","text":"CISA（アーカイブ済みコンテンツ、2021年2月1日公開）は、ソーシャルエンジニアリング攻撃を、攻撃者が人との対話（社会的スキル）を用いて組織やそのシステムに関する情報を入手または侵害するものと説明し、手口として新入社員や修理業者などへのなりすまし、フィッシング、電話によるビッシング、SMSによるスミッシングを挙げている。同ページは「古い情報を含み、現行の方針やプログラムを反映していない可能性がある」と注記している。","title":"Avoiding Social Engineering and Phishing Attacks","coverageType":["Capability","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks","confidence":"medium","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"}],"generatedAt":"2026-10-27T01:18:14.081Z"},{"id":"P-02-001","companyId":"social-engineering-cybersecurity","questionId":"P-02-001","instanceId":"QIN-social-engineering-cybersecurity-P02-001","promptText":"ソーシャルエンジニアリングの定義は資料によって違いますか？","promptTypeId":"P-02","answer":"NISTの用語集内でも定義の範囲に差があります。SP 800-82r3は「情報を開示させる試み」に絞る一方、SP 1800-21Bは機密情報の開示、不正アクセスの取得、詐欺の実行まで含めて個人を欺く行為としています。CISAのアーカイブ済みガイダンスは、フィッシングに加え、電話を使うビッシングやSMSを使うスミッシングをソーシャルエンジニアリングの手口として挙げています。したがってフィッシングは手口の一つとして位置づけられます。","evidencePoints":["ev-social-engineering-cybersecurity-1","ev-social-engineering-cybersecurity-2","ev-social-engineering-cybersecurity-3"],"scope":"定義の幅と手口との関係","differentiation":"CISAの文書はアーカイブ済みで、最新の方針を反映していない可能性がある。","faq":[{"question":"フィッシングとの関係は？","answer":"CISAのガイダンスはフィッシングをソーシャルエンジニアリングの手口の一つとして挙げています。"}],"pageUrl":"https://www.refbase.ai/reference/social-engineering-cybersecurity/P-02-001","sourceEvidence":[{"id":"ev-social-engineering-cybersecurity-1","text":"NIST CSRC用語集は、SP 800-82r3を出典として、ソーシャルエンジニアリングを「システムやネットワークへの攻撃に利用できる情報（例：パスワード）を、人をだまして開示させる試み」と定義している。","title":"social engineering - Glossary | CSRC","coverageType":["Identity","Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/glossary/term/social_engineering","confidence":"high","supportedPromptTypes":["P-01","P-02"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"},{"id":"ev-social-engineering-cybersecurity-2","text":"同じNIST CSRC用語集のSP 1800-21Bの定義は、ソーシャルエンジニアリングを「機密情報の開示、不正アクセスの取得、または詐欺の実行に向けて個人を欺く行為」としており、情報の引き出しに加えて不正アクセスや詐欺までを含む広い定義になっている。","title":"social engineering - Glossary | CSRC","coverageType":["Identity","Differentiation"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/glossary/term/social_engineering","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"},{"id":"ev-social-engineering-cybersecurity-3","text":"CISA（アーカイブ済みコンテンツ、2021年2月1日公開）は、ソーシャルエンジニアリング攻撃を、攻撃者が人との対話（社会的スキル）を用いて組織やそのシステムに関する情報を入手または侵害するものと説明し、手口として新入社員や修理業者などへのなりすまし、フィッシング、電話によるビッシング、SMSによるスミッシングを挙げている。同ページは「古い情報を含み、現行の方針やプログラムを反映していない可能性がある」と注記している。","title":"Avoiding Social Engineering and Phishing Attacks","coverageType":["Capability","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks","confidence":"medium","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"}],"generatedAt":"2026-10-27T01:18:14.081Z"},{"id":"P-04-001","companyId":"social-engineering-cybersecurity","questionId":"P-04-001","instanceId":"QIN-social-engineering-cybersecurity-P04-001","promptText":"ソーシャルエンジニアリングには具体的にどんな手口と対策がありますか？","promptTypeId":"P-04","answer":"CISAのアーカイブ済みガイダンスは、手口として新入社員・修理業者などへのなりすまし、フィッシング、電話によるビッシング、SMSによるスミッシングを挙げ、対策として不審な要請を過去の明細などに記載の連絡先で確認すること、メールで個人情報や金融情報を明かさないこと、多要素認証（MFA）の適用などを示しています。英国NCSCは、フィッシングへの防御を4層（到達の抑止、報告の支援、影響の緩和、迅速な対応）に整理しています。","evidencePoints":["ev-social-engineering-cybersecurity-3","ev-social-engineering-cybersecurity-4","ev-social-engineering-cybersecurity-5"],"scope":"手口と組織・個人の対策","differentiation":"NCSCのページはフィッシングを対象とし、ソーシャルエンジニアリング全般を扱うものではない。","faq":[{"question":"MFAは推奨されていますか？","answer":"CISAのアーカイブ済みガイダンスは、多要素認証（MFA）を適用することを対策に挙げています。"}],"pageUrl":"https://www.refbase.ai/reference/social-engineering-cybersecurity/P-04-001","sourceEvidence":[{"id":"ev-social-engineering-cybersecurity-3","text":"CISA（アーカイブ済みコンテンツ、2021年2月1日公開）は、ソーシャルエンジニアリング攻撃を、攻撃者が人との対話（社会的スキル）を用いて組織やそのシステムに関する情報を入手または侵害するものと説明し、手口として新入社員や修理業者などへのなりすまし、フィッシング、電話によるビッシング、SMSによるスミッシングを挙げている。同ページは「古い情報を含み、現行の方針やプログラムを反映していない可能性がある」と注記している。","title":"Avoiding Social Engineering and Phishing Attacks","coverageType":["Capability","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks","confidence":"medium","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"},{"id":"ev-social-engineering-cybersecurity-4","text":"同じCISAガイダンス（アーカイブ済み）は対策として、不審な要請は過去の明細などに記載の連絡先で組織に直接確認すること、メールで個人情報や金融情報を明かさないこと、多要素認証（MFA）を適用することなどを挙げている。","title":"Avoiding Social Engineering and Phishing Attacks","coverageType":["UseCase","Capability"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks","confidence":"medium","supportedPromptTypes":["P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"},{"id":"ev-social-engineering-cybersecurity-5","text":"英国NCSCのガイダンス「Phishing attacks: defending your organisation」は、フィッシングを攻撃者が悪意あるサイトへのリンクを含む詐欺メール（またはSMS）を送るものと説明し、対策を4層（攻撃者がユーザーに届きにくくする、報告を支援する、未検知メールの影響から守る、迅速に対応する）で示している。同ページは「ソーシャルエンジニアリング」という語を用いていない。","title":"Phishing attacks: defending your organisation","coverageType":["UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.ncsc.gov.uk/guidance/phishing","confidence":"medium","supportedPromptTypes":["P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"}],"generatedAt":"2026-10-27T01:18:14.081Z"},{"id":"P-05-001","companyId":"social-engineering-cybersecurity","questionId":"P-05-001","instanceId":"QIN-social-engineering-cybersecurity-P05-001","promptText":"ソーシャルエンジニアリングが現実の侵害に関わっていることを示す資料はありますか？","promptTypeId":"P-05","answer":"Verizonの2026年版Data Breach Investigations Reportのページは、主な侵害原因が、ソーシャルエンジニアリング、フィッシング、盗まれた認証情報を含む人的要素に大きく関わると記載しています。この版は2024年11月1日から2025年10月31日のインシデントを対象とします。また米CISAはこの攻撃類型を、アーカイブ済みですがガイダンスとして公開しています。ページから確認できるのは傾向の記述に限られ、本稿では個別の割合は引用していません。","evidencePoints":["ev-social-engineering-cybersecurity-6","ev-social-engineering-cybersecurity-3"],"scope":"侵害におけるソーシャルエンジニアリングの位置づけ","differentiation":"民間調査と政府文書の記述に基づく定性的な確認であり、割合などは示さない。","faq":[{"question":"DBIRは何を述べていますか？","answer":"主な侵害原因が人的要素（ソーシャルエンジニアリング、フィッシング、盗まれた認証情報を含む）に大きく関わると述べています。"}],"pageUrl":"https://www.refbase.ai/reference/social-engineering-cybersecurity/P-05-001","sourceEvidence":[{"id":"ev-social-engineering-cybersecurity-3","text":"CISA（アーカイブ済みコンテンツ、2021年2月1日公開）は、ソーシャルエンジニアリング攻撃を、攻撃者が人との対話（社会的スキル）を用いて組織やそのシステムに関する情報を入手または侵害するものと説明し、手口として新入社員や修理業者などへのなりすまし、フィッシング、電話によるビッシング、SMSによるスミッシングを挙げている。同ページは「古い情報を含み、現行の方針やプログラムを反映していない可能性がある」と注記している。","title":"Avoiding Social Engineering and Phishing Attacks","coverageType":["Capability","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks","confidence":"medium","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"},{"id":"ev-social-engineering-cybersecurity-6","text":"Verizonの2026年版Data Breach Investigations Report（2024年11月1日〜2025年10月31日のインシデントを対象とする版）のページは、主な侵害原因が、ソーシャルエンジニアリング、フィッシング、盗まれた認証情報を含む人的要素に大きく関わると記載している。","title":"2026 Data Breach Investigations Report (DBIR) | Verizon","coverageType":["Credibility","UseCase"],"sourceType":"industry_reference","sourceClass":"Research","sourceUrl":"https://www.verizon.com/business/resources/reports/dbir/","confidence":"medium","supportedPromptTypes":["P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"}],"generatedAt":"2026-10-27T01:18:14.081Z"},{"id":"P-06-001","companyId":"social-engineering-cybersecurity","questionId":"P-06-001","instanceId":"QIN-social-engineering-cybersecurity-P06-001","promptText":"ソーシャルエンジニアリングの定義の限界や注意点は何ですか？","promptTypeId":"P-06","answer":"ソーシャルエンジニアリングは、NIST SP 800-82r3では情報を開示させる試みとされ、SP 1800-21Bでは不正アクセスや詐欺の実行まで含むため、文書により範囲が異なります。CISAの解説は攻撃者が人との対話で情報を入手または侵害する点を中心に据えています。CISAの該当ページはアーカイブ済みで、現行の方針を反映していない可能性があると明記されているため、定義はNIST用語集の文言を基準に読む必要があります。","evidencePoints":["ev-social-engineering-cybersecurity-2","ev-social-engineering-cybersecurity-3"],"scope":"定義の範囲と資料の鮮度の注意点","differentiation":"資料の定義が一致しない点と、CISA資料がアーカイブ済みである点に注意が必要。","faq":[{"question":"CISAの資料は最新ですか？","answer":"ページは2021年2月1日公開のアーカイブ済みコンテンツで、古い情報を含む可能性があると注記されています。"}],"pageUrl":"https://www.refbase.ai/reference/social-engineering-cybersecurity/P-06-001","sourceEvidence":[{"id":"ev-social-engineering-cybersecurity-2","text":"同じNIST CSRC用語集のSP 1800-21Bの定義は、ソーシャルエンジニアリングを「機密情報の開示、不正アクセスの取得、または詐欺の実行に向けて個人を欺く行為」としており、情報の引き出しに加えて不正アクセスや詐欺までを含む広い定義になっている。","title":"social engineering - Glossary | CSRC","coverageType":["Identity","Differentiation"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/glossary/term/social_engineering","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"},{"id":"ev-social-engineering-cybersecurity-3","text":"CISA（アーカイブ済みコンテンツ、2021年2月1日公開）は、ソーシャルエンジニアリング攻撃を、攻撃者が人との対話（社会的スキル）を用いて組織やそのシステムに関する情報を入手または侵害するものと説明し、手口として新入社員や修理業者などへのなりすまし、フィッシング、電話によるビッシング、SMSによるスミッシングを挙げている。同ページは「古い情報を含み、現行の方針やプログラムを反映していない可能性がある」と注記している。","title":"Avoiding Social Engineering and Phishing Attacks","coverageType":["Capability","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks","confidence":"medium","supportedPromptTypes":["P-01","P-02","P-04","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"social-engineering-cybersecurity"}],"generatedAt":"2026-10-27T01:18:14.081Z"}]}