シャーロック・ホームズは「元祖」ソーシャルエンジニアだった

緑色のディアストーカー帽をかぶり、青と緑のチェック柄のショールを肩にまとい、口元のすぐ下でパイプを右手に構える——その姿は、シャーロック・ホームズなのかエリザベス・ラスニック氏なのか、ほとんど見分けがつきませんでした。しかし、それこそがまさに狙いでした。ソーシャルエンジニアリングとは、そもそも「欺くこと」そのものだからです。

ホームズこそ元祖ソーシャルエンジニアだったと、ウェストフロリダ大学サイバーセキュリティ・AIセンターの助教授であるラスニック氏は主張します。DEF CON 34での講演で同氏は、現代のソーシャルエンジニアリング手法と、探偵小説に描かれたホームズ自身の手口との類似点を指摘しました。同氏のセッションは、これまで実現が困難だったとはいえ、組織がソーシャルエンジニアリング対策とセキュリティ意識向上トレーニングにおいて「人的要素」を継続的に重視することがいかに重要かを浮き彫りにしました。

ユーザーを騙して機密情報を渡させるソーシャルエンジニアリングの手口は、技術の進化とともに大きく様変わりしてきました。AIによって脅威アクターはよりリアルなフィッシングメールを作成し、攻撃を大規模に展開できるようになりましたが、その背後にある心理的な仕組みは今も昔も変わりません。人間の行動を突き動かすのは、依然として「恐怖」と「好奇心」なのです。

信頼こそが「真の攻撃対象領域」だとラスニック氏は述べます。「予測可能な行動こそが、ソーシャルエンジニアリングを成立させる要因です」と同氏は付け加えました。

手口は同じ、時代が違うだけ

脅威アクターは皆、同じソーシャルエンジニアリングの「プレイブック」から手口を引き出しています。ユーザーの信頼につけ込み、緊迫感を演出し、人間の好奇心を利用し、注意をそらす戦術を展開する——これはホームズの手口とも重なるとラスニック氏は説明します。すなわち、標的を知り、信頼できる人物になりすまし、行動を起こす理由を作り出し、感情を利用し、相手の反応を観察し、状況に応じて手口を調整するのです。

現代の脅威アクターによるなりすましは、リアルなディープフェイク動画を使って標的を欺くところまで進んでいます。探偵小説の中でも、ホームズは思い切った手段を取っており、変装した状態で情報を得るために、実際にメイドと婚約までしたことがあると同氏は説明しました。

「標的を知る」段階では、脅威アクターはオープンソースインテリジェンス(OSINT)を活用します。例えば、ソーシャルメディアを調べて相手の勤務先などの詳細情報を集めるといった具合です。攻撃前にどれだけ情報を収集できるかが、ソーシャルエンジニアリング作戦の成否を左右すると同氏は述べています。

情報が集まると、脅威アクターは標的に行動を起こさせる理由を作り出します。この操作の手口では感情に強く訴えかけ、標的を悲しませたり怖がらせたりするほか、魅力的なチャンスをちらつかせることもあります。

「人がどう反応するかは分かっていますし、その反応を見越して計画を立てます」と同氏は語ります。「それこそがすべての本質なのです」

ラスニック氏はまた、架空の組織が実在するかのように装う物語「シャーロック・ホームズ 赤毛連盟」を、現在の偽の求人詐欺になぞらえました。この詐欺では、脅威アクターが応募者を罠に誘い込んだ後、フィッシングリンクを送りつけます。

ソーシャルエンジニアリングは「インターネットとともに始まったわけではありません」と同氏は述べました。「そう感じてしまうのは分かりますが」

ホームズ対モリアーティ、それともブルーハット対レッドハット?

続いてラスニック氏は、ホームズと彼の宿敵である架空の人物ジェームズ・モリアーティを、現代のディフェンシブ(守備側)およびオフェンシブ(攻撃側)のセキュリティ専門家になぞらえ、倫理的なハッカーとサイバー犯罪者との間にある紙一重の境界線を示しました。

いかにも大学教授らしく、ラスニック氏は「これはシャーロックか、それともモリアーティか?」という3問のクイズから講演を始めました。参加者全員が答えを外しました。実は、偵察から心理操作まで、すべてを行っていたのはホームズの方だったのです。一方、この事例におけるヴィクトリア朝の悪役、モリアーティは無実でした。

同氏はさらに、ホームズが本質的には現代のペネトレーションテスターのような存在だったと説明しました。依頼人は謎を解くためにホームズを雇い、彼は成果を出すために6つのルールから成るプレイブックを駆使しました。偵察を行い、信頼関係を築き、注意をそらし、緊迫感を演出し、相手の反応を分析し、必要に応じて手口を調整する——しかし、それらはすべて正当な手順に則って行われていました。

一方のモリアーティは犯罪者であり、悪意を持って行動していました。秘密の犯罪組織まで運営していたのです。

倫理的なハッカーとそうでないハッカーは、いずれも同じ技術を使っていると同氏は述べます。学生に倫理的ハッキングを教える際、同氏はその違いは「書類仕事」にあると説明しています。システムのテストを依頼されたブルーハットは契約書を交わし、作業完了後には報告書を提出します。倫理に反するハッカーは、そうした手続きを気にする必要がありません。

「ホームズがやれば、それは許されるということでしょうか?」とラスニック氏は問いかけました。「違いは意図であり、そして正当性を持っているかどうかです」