ISBN 9784297154363
人を動かすハッカーの技術：ソーシャルエンジニアリングの実践と防御
概要
人間心理を悪用した攻撃手法をOSINTから防御まで体系的に習得する
想定読者
セキュリティエンジニア・ペネトレーションテスター・CSIRT担当者など、人的脆弱性を含めた総合的なセキュリティ対策を担う実務家
こんな人には向いていない
- ネットワーク・Webアプリ等の技術的脆弱性のみを扱う診断に特化した読者には、人的側面の比重が大きく感じられる
- ソーシャルエンジニアリングの概念を既に熟知しており、最新ツールのリファレンスだけを求める上級者には基礎説明の分量が多い
- 倫理・法的考察なしに攻撃手法だけを学びたい読者を対象としていない(本書は演習・スコープ管理を前提とした合法的な使用を一貫して求める)
読了後にできるようになること
- OSINTツール(Shodan・Hunchly等)を用いた組織・個人情報の系統的収集手順を実行できる
- 口実(プリテキスティング)を設計し、クライアントとのスコープ調整から攻撃フェーズ移行までのフローを管理できる
- フィッシングキャンペーンの準備・配信タイミング調整・成果測定・報告書作成を一貫して行える
- ランディングページクローンの仕組みと検知手法の両面を理解できる
- DMARC/DKIM/SPF・MTA-STS・TLS-RPTなど技術的なメール保護標準を設計・運用できる
- 脅威インテリジェンス(OTX等)を活用してフィッシングメールの事後分析と再発防止策を立案できる
本書のキー概念(章解説)
- 第 1 章 ソーシャルエンジニアリングとは？ — 心理学的概念(権威・希少性・社会的証明など)の整理が防御設計の基礎になる
- 第 2 章 ソーシャルエンジニアリングにおける倫理的考察 — スコープ設計と法的リスク管理の実例を扱う。ペネトレーション業務に従事する前に必読
- 第 3 章 攻撃の準備 — クライアントとの調整・口実設計・専用OSの選定まで、実施前フェーズを体系化
- 第 4 章 ビジネスOSINTの収集 — 組織情報の収集手順を実例で解説。防御側にとっても自社の露出面を把握する入り口になる
- 第 5 章 ソーシャルメディアと公開文書 — ShodanやHunchlyなど具体的ツールの活用法を含む
- 第 6 章 人々に関するOSINTの収集 — メールアドレス・パスワードリスト・画像解析などターゲット個人へのアプローチを扱う
- 第 7 章 フィッシング — 攻撃準備からタイミング調整・25ドルで実施した実例まで、コスト感覚含めて学べる
- 第 8 章 ランディングページのクローン — クローンサイトの構築と検知の両面を対で理解できる
- 第 9 章 検知、測定、およびレポート — 演習結果を報告書にまとめる実務プロセス。Appendixのテンプレートと組み合わせると即実用できる
- 第 10 章 積極的な防御テクニック — 意識向上プログラムの設計とインシデント対応手順。組織横断の施策立案に使える
- 第 11 章 技術的なメールの管理 — DMARC・MTA-STS・TLS-RPTなど標準規格の設定根拠を整理。メールセキュリティの設計レビューに活用できる
- 第 12 章 脅威インテリジェンスの作成 — OTXを使ったフィッシングメール分析と再発防止策の構築手順を実践的に解説
ハイライト
- 最大の脆弱性は「人間」だ──人間の心理を悪用したソーシャルエンジニアリングは、いつどんな時代においても最も重要で基本的なハッキング手法です。(技術的防御が進んでも人的攻撃面が残り続けるという本書の核心的論点が端的に表現されている)
- 倫理的なソーシャルエンジニアリング・OSINTの実施方法と、行き過ぎた事例を対比させながら、スコープ設計の重要性を実例で示す。(ペネトレーションテストの現場でよく問題になる「どこまでやるか」の境界線を章として独立して扱っている点が実務家に有用)
編集メモ
Qiita言及0件・楽天ランキング情報なし。2026年2月刊行の新刊のため外部シグナル蓄積途上。書誌内容の網羅性と実務付録(スコープワークシート・報告書テンプレート等)の充実度から、ソーシャルエンジニアリング分野の実務参照書としての補完的価値を評価
読む前に押さえておきたいこと
- TCP/IP・HTTP・DNSなどネットワーク基礎の実務経験
- Linuxコマンドラインの基本操作(専用OSを扱うため)
- ペネトレーションテストまたはセキュリティ監査の基本的な概念(スコープ・レポート作成)
学習のコツ
- Chapter 2(倫理的考察)はChapter 1の直後に読む。演習開始前にスコープ設計の感覚を掴むことで、後続の攻撃手法章を安全に活用できる
- Appendix A(スコープワークシート)・B(報告書テンプレート)・D(口実例)は本文と並行して手元に置き、実際の演習計画に当てはめながら読むと理解が早い
- 防御担当者はPart IIを「攻撃者の視点でどう見えるか」という観点で読むと、Chapter 10〜12の防御施策の優先順位付けに直結する
- Chapter 4〜6のOSINT収集章は自社のデジタルフットプリント棚卸しのチェックリストとして再利用できる
出版社による内容紹介
最大の脆弱性は「人間」だ──人間の心理を悪用したソーシャルエンジニアリングは、いつどんな時代においても最も重要で基本的なハッキング手法です。本書では、ソーシャルエンジニアリングにおける基本的な概念はもちろん、実際のハッカーがどのように攻撃を行うのか、逆にその攻撃をどう防御すべきかについて解説します。 Part I：ソーシャルエンジニアリングの基本 Chapter 1：ソーシャルエンジニアリングとは？ ・ソーシャルエンジニアリングにおける重要な概念 ・ソーシャルエンジニアリングにおける心理学的概念 ・まとめ Chapter 2：ソーシャルエンジニアリングにおける倫理的考察 ・倫理的なソーシャルエンジニアリング ・Case Study：行き過ぎたソーシャルエンジニアリング ・倫理的なOSINT収集 ・Case Study：ソーシャルエンジニアリングの倫理的限界 ・まとめ Part II：攻撃的なソーシャルエンジニアリング Chapter 3：攻撃の準備 ・クライアントとの調整 ・上手くいく口実を作る ・ソーシャルエンジニアリングに特化したOSを使う ・攻撃フェーズに続く ・Case Study：なぜスコープが重要なのか ・まとめ Chapter4：ビジネスOSINTの収集 ・Case Study：OSINTが重要な理由 ・OSINTの種類を理解する ・ビジネスOSINT ・まとめ Chapter 5：ソーシャルメディアと公開文書 ・OSINTのためのソーシャルメディア分析 ・OSINTにおけるShodanの活用 ・Hunchlyによる自動スクリーンショットの取得 ・SECフォームの盗用 ・まとめ Chapter 6：人々に関するOSINTの収集 ・電子メールアドレスの分析におけるOSINTツールの使用 ・Pwdlogyによるパスワードの分析 ・ターゲットの画像の分析 ・ツールを使用しないソーシャルメディアの分析 ・Case Study：すべての貴重な情報を手放した晩餐 ・まとめ Chapter 7：フィッシング ・フィッシング攻撃の準備 ・フィッシングの追加手順 ・タイミングと配信に関する考慮事項 ・Case Study：25ドルの高度で執拗なフィッシング ・まとめ Chapter 8：ランディングページのクローン ・クローンサイトの例 ・Webサイトのクローン ・まとめ Chapter 9：検知、測定、およびレポート ・検知 ・測定 ・レポート ・まとめ Part III：ソーシャルエンジニアリングに対する防御 Chapter 10：積極的な防御テクニック ・意識向上プログラム ・レピュテーションおよびOSINTモニタリング ・インシデント対応 ・まとめ Chapter 11：技術的なメールの管理 ・標準規格 ・楽観的TLS ・MTA-STS ・TLS-RPT ・メールフィルタリング技術 ・その他の保護 ・まとめ Chapter 12：脅威インテリジェンスの作成 ・Alien Labs OTXの使用 ・OTXにおけるフィッシングメールの分析 ・脅威インテリジェンスのためのOSINTの実施 ・まとめ Appendix A：スコープワークシート Appendix B：報告書のテンプレート Appendix C：情報収集ワークシート Appendix D：ソーシャルエンジニアリングに用いる口実の例 Appendix E：ソーシャルエンジニアリングのスキルを向上させるための演習
この本がどの学習段階で役立つかは、 関連する ロードマップ から確認できます。