人を動かすハッカーの技術: ソーシャルエンジニアリングの実践と防御

最大の脆弱性は「人間」だ──人間の心理を悪用したソーシャルエンジニアリングは、いつどんな時代においても最も重要で基本的なハッキング手法です。本書では、ソーシャルエンジニアリングにおける基本的な概念はもちろん、実際のハッカーがどのように攻撃を行うのか、逆にその攻撃をどう防御すべきかについて解説します。
Part I:ソーシャルエンジニアリングの基本

Chapter 1:ソーシャルエンジニアリングとは?
・ソーシャルエンジニアリングにおける重要な概念
・ソーシャルエンジニアリングにおける心理学的概念
・まとめ

Chapter 2:ソーシャルエンジニアリングにおける倫理的考察
・倫理的なソーシャルエンジニアリング
・Case Study:行き過ぎたソーシャルエンジニアリング
・倫理的な OSINT 収集
・Case Study:ソーシャルエンジニアリングの倫理的限界
・まとめ

Part II:攻撃的なソーシャルエンジニアリング

Chapter 3:攻撃の準備
・クライアントとの調整
・上手くいく口実を作る
・ソーシャルエンジニアリングに特化した OS を使う
・攻撃フェーズに続く
・Case Study:なぜスコープが重要なのか
・まとめ

Chapter4:ビジネス OSINT の収集
・Case Study:OSINT が重要な理由
・OSINT の種類を理解する
・ビジネス OSINT
・まとめ

Chapter 5:ソーシャルメディアと公開文書
・OSINT のためのソーシャルメディア分析
・OSINT における Shodan の活用
・Hunchly による自動スクリーンショットの取得
・SEC フォームの盗用
・まとめ

Chapter 6:人々に関する OSINT の収集
・電子メールアドレスの分析における OSINT ツールの使用
・Pwdlogy によるパスワードの分析
・ターゲットの画像の分析
・ツールを使用しないソーシャルメディアの分析
・Case Study:すべての貴重な情報を手放した晩餐
・まとめ

Chapter 7:フィッシング
・フィッシング攻撃の準備
・フィッシングの追加手順
・タイミングと配信に関する考慮事項
・Case Study:25 ドルの高度で執拗なフィッシング
・まとめ

Chapter 8:ランディングページのクローン
・クローンサイトの例
・Web サイトのクローン
・まとめ

Chapter 9:検知、測定、およびレポート
・検知
・測定
・レポート
・まとめ

Part III:ソーシャルエンジニアリングに対する防御

Chapter 10:積極的な防御テクニック
・意識向上プログラム
・レピュテーションおよび OSINT モニタリング
・インシデント対応
・まとめ

Chapter 11:技術的なメールの管理
・標準規格
・楽観的 TLS
・MTA-STS
・TLS-RPT
・メールフィルタリング技術
・その他の保護
・まとめ

Chapter 12:脅威インテリジェンスの作成
・Alien Labs OTX の使用
・OTX におけるフィッシングメールの分析
・脅威インテリジェンスのための OSINT の実施
・まとめ

Appendix A:スコープワークシート
Appendix B:報告書のテンプレート
Appendix C:情報収集ワークシート
Appendix D:ソーシャルエンジニアリングに用いる口実の例
Appendix E:ソーシャルエンジニアリングのスキルを向上させるための演習

『人を動かすハッカーの技術: ソーシャルエンジニアリングの実践と防御』 (Joe Gray 著、Jin Maeda 訳、技術評論社、2026 年 2 月刊) は、人の心理を突いて情報や操作を引き出すソーシャルエンジニアリングを、攻撃の側と防御の側の両方から解説した書籍です。国立国会図書館の書誌によると、原タイトルは Practical Social Engineering です。版元の概要は、基本的な概念に加えて、実際のハッカーがどのように攻撃を行うのか、その攻撃をどう防御すべきかを解説すると案内しています。版元は、本書の読者を、ソーシャルエンジニアリングを学びたいセキュリティの専門家、ユーザーのセキュリティ意識の向上を目指すシステム管理者、詐欺やフィッシング攻撃から身を守りたい一般のビジネスパーソンと案内しています。

基本、攻撃、防御の 3 部と全 12 章の構成

本文は 3 つの Part です。Part I「ソーシャルエンジニアリングの基本」は、Chapter 1「ソーシャルエンジニアリングとは?」で重要な概念と心理学的な概念を扱い、Chapter 2「ソーシャルエンジニアリングにおける倫理的考察」で倫理的な OSINT 収集までを論じます。Part II「攻撃的なソーシャルエンジニアリング」は Chapter 3「攻撃の準備」から Chapter 9「検知、測定、およびレポート」までで、口実の作成、ビジネスと人々に関する OSINT の収集、ソーシャルメディアと公開文書の分析、フィッシング、ランディングページのクローンを経て、検知と測定と報告に至ります。Part III「ソーシャルエンジニアリングに対する防御」は Chapter 10「積極的な防御テクニック」から Chapter 12「脅威インテリジェンスの作成」までです。Chapter 2、3、4、6、7 には Case Study の節があり、巻末には Appendix A から E として、スコープワークシート、報告書のテンプレート、情報収集ワークシート、口実の例、スキルを向上させるための演習が付きます。

依頼主との調整とスコープから始まる攻撃側の Part II

Chapter 3 はクライアントとの調整から始まり、「なぜスコープが重要なのか」という Case Study を置き、Appendix A のスコープワークシートと Appendix B の報告書のテンプレートがこの流れを受けます。章の中で名前の出る道具は、OSINT に使う Shodan、自動でスクリーンショットを取る Hunchly、パスワードの分析に使う Pwdlogy などで、Chapter 9 は攻撃を検知、測定し、報告する工程を扱います。

OSINT とフィッシング、メールの管理の章

OSINT は、公開されている情報から相手の組織や人を調べる情報収集で、フィッシングは、本物を装ったメールなどで相手に情報の入力や操作をさせる攻撃です。メールの経路では、サーバー同士の通信を TLS で暗号化するかどうかが長く相手のサーバー次第で、対応していなければ平文に戻る弱点がありました。Chapter 11「技術的なメールの管理」が節に立てる MTA-STS は暗号化を必須にする方針を宣言する仕組みで、TLS-RPT はその失敗を報告させる仕組みです。Chapter 10 は意識向上プログラム、レピュテーションと OSINT のモニタリング、インシデント対応を、Chapter 12 は Alien Labs OTX を使ったフィッシングメールの分析を扱います。セキュリティの本の選び方は セキュリティ本ガイド にまとめています。

本書は、ソーシャルエンジニアリングの概念と倫理から、OSINT とフィッシングによる攻撃の手順、メールの管理と脅威インテリジェンスによる防御までを、3 つの Part の全 12 章と Appendix A から E に収めています。