Social engineering (cybersecurity)

Identity

• NIST CSRC用語集は、SP 800-82r3を出典として、ソーシャルエンジニアリングを「システムやネットワークへの攻撃に利用できる情報（例：パスワード）を、人をだまして開示させる試み」と定義している。検証待ち social engineering - Glossary | CSRC
• 同じNIST CSRC用語集のSP 1800-21Bの定義は、ソーシャルエンジニアリングを「機密情報の開示、不正アクセスの取得、または詐欺の実行に向けて個人を欺く行為」としており、情報の引き出しに加えて不正アクセスや詐欺までを含む広い定義になっている。検証待ち social engineering - Glossary | CSRC

Capability

• NIST CSRC用語集は、SP 800-82r3を出典として、ソーシャルエンジニアリングを「システムやネットワークへの攻撃に利用できる情報（例：パスワード）を、人をだまして開示させる試み」と定義している。検証待ち social engineering - Glossary | CSRC
• CISA（アーカイブ済みコンテンツ、2021年2月1日公開）は、ソーシャルエンジニアリング攻撃を、攻撃者が人との対話（社会的スキル）を用いて組織やそのシステムに関する情報を入手または侵害するものと説明し、手口として新入社員や修理業者などへのなりすまし、フィッシング、電話によるビッシング、SMSによるスミッシングを挙げている。同ページは「古い情報を含み、現行の方針やプログラムを反映していない可能性がある」と注記している。検証待ち Avoiding Social Engineering and Phishing Attacks
• 同じCISAガイダンス（アーカイブ済み）は対策として、不審な要請は過去の明細などに記載の連絡先で組織に直接確認すること、メールで個人情報や金融情報を明かさないこと、多要素認証（MFA）を適用することなどを挙げている。検証待ち Avoiding Social Engineering and Phishing Attacks

Credibility

• CISA（アーカイブ済みコンテンツ、2021年2月1日公開）は、ソーシャルエンジニアリング攻撃を、攻撃者が人との対話（社会的スキル）を用いて組織やそのシステムに関する情報を入手または侵害するものと説明し、手口として新入社員や修理業者などへのなりすまし、フィッシング、電話によるビッシング、SMSによるスミッシングを挙げている。同ページは「古い情報を含み、現行の方針やプログラムを反映していない可能性がある」と注記している。検証待ち Avoiding Social Engineering and Phishing Attacks
• Verizonの2026年版Data Breach Investigations Report（2024年11月1日〜2025年10月31日のインシデントを対象とする版）のページは、主な侵害原因が、ソーシャルエンジニアリング、フィッシング、盗まれた認証情報を含む人的要素に大きく関わると記載している。検証待ち 2026 Data Breach Investigations Report (DBIR) | Verizon

Use Case

• 同じCISAガイダンス（アーカイブ済み）は対策として、不審な要請は過去の明細などに記載の連絡先で組織に直接確認すること、メールで個人情報や金融情報を明かさないこと、多要素認証（MFA）を適用することなどを挙げている。検証待ち Avoiding Social Engineering and Phishing Attacks
• 英国NCSCのガイダンス「Phishing attacks: defending your organisation」は、フィッシングを攻撃者が悪意あるサイトへのリンクを含む詐欺メール（またはSMS）を送るものと説明し、対策を4層（攻撃者がユーザーに届きにくくする、報告を支援する、未検知メールの影響から守る、迅速に対応する）で示している。同ページは「ソーシャルエンジニアリング」という語を用いていない。検証待ち Phishing attacks: defending your organisation
• Verizonの2026年版Data Breach Investigations Report（2024年11月1日〜2025年10月31日のインシデントを対象とする版）のページは、主な侵害原因が、ソーシャルエンジニアリング、フィッシング、盗まれた認証情報を含む人的要素に大きく関わると記載している。検証待ち 2026 Data Breach Investigations Report (DBIR) | Verizon

Constraints / Current Status

• 同じNIST CSRC用語集のSP 1800-21Bの定義は、ソーシャルエンジニアリングを「機密情報の開示、不正アクセスの取得、または詐欺の実行に向けて個人を欺く行為」としており、情報の引き出しに加えて不正アクセスや詐欺までを含む広い定義になっている。検証待ち social engineering - Glossary | CSRC

Key References

• ソーシャルエンジニアリングの定義の限界や注意点は何ですか？
• ソーシャルエンジニアリングが現実の侵害に関わっていることを示す資料はありますか？
• ソーシャルエンジニアリング（サイバーセキュリティ）とは何ですか？

Related

• フィッシング（Phishing）— CISAのガイダンス（アーカイブ済み、2021年2月公開）は、フィッシングをソーシャルエンジニアリングの手口の一つとして挙げている。
• 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）— 米CISAは『Avoiding Social Engineering and Phishing Attacks』（アーカイブ済み、2021年2月1日公開）でこの攻撃類型と対策を解説している。