ソーシャルエンジニアリングの戦略

今週の月曜に、ケビン・ミトニック氏の講義を拝聴してきました。
講演のタイトルは「The Art of Deception」、著書（日本では「欺術」）と同じでした。

ソーシャルエンジニアリングの手口とその脅威を、わかりやすく伝えようと、かなり苦心していたように見受けられました。
でも、その本質的なことが伝わってない人も多かったような気がします。

やはり、ソーシャルエンジニアリングを教えるのは、難しいのですね。
もちろん、検出も対応も難しいですが･･･

さて、その講演で「ソーシャルエンジニアリングの戦略」の話がありました。
つまり、ソーシャルエンジニアリングをしようとする者が取る行動です。
ちなみに、以下の3つとのこと。

(1) なりすます人のアイデンティティを確立する
(2) 情報を入手しようとする理由を明確にする
(3) だます相手の信頼や共感を得る

なるほど…
これをもとにシナリオを描くわけですね。
そのために、事前に情報収集（やはり、ごみ箱あさりが効果があるらしい。「ある人のゴミはある人の宝物」と言ってました）をするわけですね。