生成AIのリスク
ソーシャルエンジニアリングとは
ソーシャルエンジニアリングは、生成AIパスポートの2027年版シラバスで、生成AIの代表的リスクの詳細キーワードに載る用語です。マルウェア等を使わずに情報を詐取する手口で、IPAの資料は備えとして、メール以外での事実確認や複数名の承認を挙げています。
このページは、公式シラバスとIPAの資料の範囲で、定義・なりすましの型・備え・出る章を整理しています。
公式情報の確認
試験日、料金、申込条件、試験方式など変動する情報は、公式情報を最終確認してください。 当サイトの一次情報確認日: 2026-08-31。
試験の出題範囲・実施要項は変動するため、受験前に公式情報を確認してください。
結論
- ソーシャルエンジニアリングは、マルウェア等を使わずに情報を詐取する手口で、IPAは脆弱性の悪用、マルウェアの利用と並べる
- ビジネスメール詐欺では、取引先、経営者等、社外の権威ある第三者へのなりすましの3型が挙がる
- なりすましにAIによるディープフェイク等の利用も確認されている
- 備えは、メール以外での事実確認、複数名の承認、多要素認証の組み合わせ
定義
IPAの「情報セキュリティ10大脅威 2025」の基本と共通対策は、脅威が使う攻撃の糸口として、脆弱性を悪用する、マルウェアを使う、またはマルウェア等を使わずに情報を詐取するソーシャルエンジニアリングを使う、といった古くから知られている手口を挙げています。
プログラムの欠陥を突く手口と違い、ソーシャルエンジニアリングは、受け取った人の判断をだます点が特徴です。入口になる手段（メール、SMS、電話）の違いはフィッシング・スミッシング・ヴィッシングの違いに整理しています。
一次資料: 生成AIパスポート公式シラバス、IPA「情報セキュリティ10大脅威 2025 情報セキュリティ対策の基本と共通対策」
なりすましの3つの型
IPAの「情報セキュリティ10大脅威 2026 解説書［組織編］」は、ビジネスメール詐欺の攻撃手口として、次の3型を挙げています。
| 型 | 手口 |
|---|---|
| 取引先へのなりすまし | 正規の請求書に記載された口座情報を、攻撃者が用意した虚偽の口座情報に差し替える。取引先になりすまし、偽の請求書を従業員にメールで送り、振り込みを促す |
| 経営者等へのなりすまし | 組織の経営者等になりすまし、従業員に業務指示の体裁のメールを送る。本物と信じ込ませ、金銭の振り込みを促す |
| 社外の権威ある第三者へのなりすまし | 弁護士等になりすまし、財務担当者等に虚偽のメールを送る（時に生成AI等による偽電話もある）。本物と信じ込ませ、振り込みを促す |
同じ解説書は、なりすましにAIによるディープフェイク等の利用も確認されていると述べ、「緊急」や「他の従業員には秘密」と申し添えるケースがあるとします。声や文面が本物らしく見えても、急がせる言葉があれば確認の合図と考えます。ディープフェイクそのものはディープフェイクとはで確認できます。
同じ解説書には、実際の事例も載っています。2025年1月に、米国拠点の製造委託先A社からの虚偽の支払依頼に子会社が応じてしまったとモダリス社が公表し、最終的な被害額は日本円で約1,400万円でした。虚偽のメールはA社担当者の正規のメールアドレスから送信されており、担当者のアカウントを乗っ取って一定期間メールを盗聴していたことが推測されています。送信元が正規のアドレスでも、依頼の内容が普段と違えば、メール以外の手段で確かめます。また昨今は、簡潔なメールでLINEグループの作成とQRコードの返信を命じたり、ビジネスチャットのアカウント情報の返信を指示したりするメールも確認されているとあります。
一次資料: IPA「情報セキュリティ10大脅威 2026 解説書［組織編］」（2026年3月）
備え
備えは、出どころとあわせて並べます。
| 備え | 内容 | 出どころ |
|---|---|---|
| メール以外の手段でも事実確認する | 振込先口座の変更依頼等を受けた場合は、メール以外に電話等の方法で直接取引先に確認する。金融機関にその口座の名義等を確認する | IPA「情報セキュリティ10大脅威 2026 解説書［組織編］」ビジネスメール詐欺の対策 |
| 急がせる連絡ほど確認の流れを使う | 至急の対応を要求し、担当者に真偽を判断する時間を与えない手口もあり得るため、真偽を確認するフローを予め策定しておく | 同上 |
| 決裁・承認を複数名のチェックにする | 業務における決裁・承認プロセスに対し、複数名によるチェックを規程化し、運用を徹底する（高度化するソーシャルエンジニアリングへの備え） | IPA「情報セキュリティ10大脅威 2026 解説書［組織編］」AIの利用をめぐるリスクの対策 |
| 多要素認証（MFA）を徹底する | AI悪用による不正アクセス、ソーシャルエンジニアリング等を抑止するため、多要素認証（MFA）を徹底する | 同上 |
| メールアカウントは強固なMFAも検討する | AiTM（Adversary-in-the-Middle）攻撃への対策として、FIDO／FIDO2（パスキーなど）やデバイス認証などの強固なMFAの採用も検討する | IPA「情報セキュリティ10大脅威 2026 解説書［組織編］」ビジネスメール詐欺の対策 |
メール以外の確認、確認フロー、複数名の承認は、1人の判断で完結させず、別の手段や別の人の目を挟む形です。これはシラバスの詳細キーワードにある「人間による確認・承認」と同じ考え方です。AIの出力を人が確かめる流れはAI出力の評価と検証とはに整理しています。
シラバスのどこに出るか
確認したのは、2027年2月試験より適用のシラバスです。
| 場所 | 内容 |
|---|---|
| 2027年版（2027年2月試験より適用） 第4章 リスク 学習項目「生成AIの代表的リスク」の詳細キーワード | ソーシャルエンジニアリング、多要素認証、人間による確認・承認、なりすまし、フィッシングなどが並ぶ |
| 同 学習項目 | 「ディープフェイクによるなりすまし」と「フィッシング・詐欺・サイバー攻撃への悪用」が置かれる |
詳細キーワードに「多要素認証」と「人間による確認・承認」が並ぶため、技術の対策と人の確認の両方をセットで覚えておくと整理しやすくなります。章立ての全体は2027年2月試験の新シラバスに整理しています。試験での出題を予想するものではありません。
よくある質問
ソーシャルエンジニアリングとフィッシングは同じですか？
同じではありません。IPAの資料は、ソーシャルエンジニアリングを、マルウェア等を使わずに情報を詐取する手口として、脆弱性の悪用やマルウェアの利用と並べています。このサイトでは、フィッシングを、人をだます手口でメールなどの入口を使う代表例と整理しています。手段ごとの違いは別のページで整理しています。
生成AIは、ソーシャルエンジニアリングにどう関わりますか？
IPAの解説書は、なりすましにAIによるディープフェイク等の利用も確認されていると述べ、時に生成AI等による偽電話もあるとしています。公式シラバスも、学習項目に「ディープフェイクによるなりすまし」を置いています。
多要素認証だけで防げますか？
IPAの解説書は、多要素認証の徹底に加えて、複数名による決裁・承認のチェックや、メール以外の手段での事実確認も備えに挙げています。1つの対策だけに頼らず、組み合わせる考え方です。
どの版のシラバスで確認しましたか？
2027年2月試験より適用のシラバスです（2026-10-21時点）。受験回の版のシラバスで確認してください。出題を予想するものではありません。
