プリテキスティングとは？フィッシングとの違いや対策を事例で解説

プリテキスティングとは、ソーシャルエンジニアリングの一種です。この攻撃は、事前の調査に基づいて個人に特化したシナリオで実行されるため、見抜くことが難しいという特徴があります。

本記事では、プリテキスティングの具体的な流れから、混同されがちなフィッシングとの違い、そして有効な対策までを詳しく解説します。

contents ・プリテキスティングとは｜巧妙な口実で情報をだまし取る攻撃
・プリテキスティング攻撃の仕組み｜ターゲットを信じ込ませる4つのステップ
・プリテキスティングとフィッシングの明確な違い
・【手口別】プリテキスティングの具体的なシナリオ例
・プリテキスティングが引き起こす深刻な被害
・個人でできるプリテキスティングへの対策
・組織が実施すべき組織的なプリテキスティング対策
・プリテキスティングに関するよくある質問
・まとめ

プリテキスティングとは｜巧妙な口実で情報をだまし取る攻撃

プリテキスティングとは、前述の通り「口実（プリテキスト）」を使っておこなわれるサイバー攻撃のことです。攻撃者は、IT部門の担当者や取引先、公的機関の職員など、ターゲットが信頼しやすい人物になりすまし、作り上げたシナリオに沿って巧みに接触します。

この手法の目的は、ターゲットを心理的に操り、パスワードや個人情報、組織の機密情報などを聞き出したり、不正な送金をさせたりすることにあります。人間の心理的な隙や信頼関係を悪用するソーシャルエンジニアリングの中でも、特に計画的で悪質な行為です。

プリテキスティング攻撃の仕組み｜ターゲットを信じ込ませる4つのステップ

プリテキスティングの手口は、単なる思いつきでおこなわれるものではなく、周到な準備と計画に基づいた複数のステップで構成されています。

ステップ1：標的の情報を入念に調査する

攻撃の最初のステップは、ターゲットとなる個人や組織に関する徹底的な情報収集です。この段階では、SNSの投稿、組織のウェブサイト、公開されているニュースリリース、さらには過去のデータ侵害で漏洩した情報など、あらゆる情報源が利用されます。

攻撃者は、ターゲットの役職、所属部署、交友関係、取引先、最近の業務内容といった情報を収集し、後のステップで用いるシナリオにリアリティを持たせるための材料をそろえます。

ステップ2：信頼できる人物になりすますシナリオを作成する

次に、収集した情報をもとに、ターゲットをだますための具体的なシナリオを作成します。ここで重要なのは、ターゲットが疑いなく信じてしまうような、もっともらしい口実を作り上げることです。

例えば、IT部門の担当者を装って「緊急のシステムメンテナンス」、上司になりすまして「極秘案件に関する至急の送金依頼」など、ターゲットの状況や立場にあわせて、権威性や緊急性を巧みに利用したシナリオが構築されます。

ステップ3：ターゲットに接触し心理的に誘導する

シナリオが完成すると、攻撃者は電話、メール、SNSなどの手段でターゲットに接触します。このステップでは、作り上げたシナリオに沿ってなりすました人物として振る舞いながら、ターゲットとの信頼関係を築いていきます。

攻撃者は、専門用語を交えたり、事前に調査した内部情報をそれとなく会話に盛り込んだりすることで、ターゲットに「本物の関係者だ」と思い込ませます。そして、緊急性を強調して冷静な判断力を奪うなど、心理的なテクニックを駆使して誘導します。

ステップ4：目的の情報や金銭を詐取する

ターゲットが攻撃者を完全に信用し、心理的にコントロールされた状態になったところで、システムのログイン情報（ID・パスワード）、個人情報、組織の機密データなどを聞き出します。あるいは、偽の口座情報を伝えて送金を指示するなど、直接的な金銭詐取に及ぶこともあります。

ターゲットは、信頼する相手からの正当な依頼だと信じ込んでいるため、疑うことなく要求に応じてしまうのです。

プリテキスティングとフィッシングの明確な違い

プリテキスティングとは、しばしばフィッシングと混同されることがありますが、両者には明確な違いが存在します。どちらも情報をだまし取るソーシャルエンジニアリングの一種ですが、そのアプローチや標的の定め方が異なります。

フィッシング詐欺のトレンドとは

標的の定め方（不特定多数か特定の個人か）

最も大きな違いは、攻撃のターゲットです。フィッシングは、金融機関や有名企業を装った偽のメールを無差別に大量送信し、それに引っかかった不特定多数のユーザーから情報をだまし取ろうとする「投網漁」のような攻撃です。

一方プリテキスティングは、事前に調査した特定の個人や組織を標的として狙い撃ちする「一本釣り」に例えられます。ターゲットに合わせて個別最適化されたシナリオを用いるため、より計画的で標的型攻撃の性質が強いといえます。

攻撃アプローチ（作り話か偽サイトか）

攻撃の具体的なアプローチも異なります。

フィッシングの典型的な手法は、偽のウェブサイトへユーザーを誘導し、そこでIDやパスワード、クレジットカード情報などを入力させて盗み取るというものです。メールやSMSの文面自体は比較的単純な場合があります。

対してプリテキスティングは、偽サイトへの誘導に限定されません。作り込まれたシナリオに基づいた電話やメールでの直接的な対話を通じて相手を信用させ、情報を聞き出したり特定の行動を取らせたりする、より心理的な駆け引きを中心としています。

【手口別】プリテキスティングの具体的なシナリオ例

プリテキスティングの手口は、攻撃者がどのような立場になりすますかによってさまざまなバリエーションが存在します。ターゲットが日常的に関わる可能性のある人物や、権威があって断りにくい立場を巧みに利用することで、警戒心を解き、要求に応じさせやすくするのです。

ここでは、実際に報告されている事例のなかから代表的な3つのシナリオを紹介し、その巧妙さを具体的に解説します。

IT部門や取引先を装うなりすまし

IT部門や取引先へのなりすましは、組織の従業員をターゲットにする際に頻繁に用いられる手口です。攻撃者は社内のITヘルプデスクやシステム管理者を装い、「セキュリティ上の問題が検出されたため、確認が必要である」といった口実で至急パスワードを教えるよう求めてきます。

また、取引先になりすまして「システムの変更に伴い、今後の請求書の振込先が変わった」と偽の口座情報を送付する事例も存在します。これらはビジネスメール詐欺の一形態としても知られており、日常的な業務連絡を装うことで受信者の警戒心を解く巧妙な手法です。

相手の言葉を鵜呑みにせず、正規のルートで事実確認をおこなう姿勢が求められます。

役員や上司をかたる偽の指示

CEOやCFO、直属の上司といった組織内の権威ある人物になりすます手口も非常に効果的です。これは「CEO詐欺」とも呼ばれ、主に経理や財務の担当者がターゲットにされます。

攻撃者は、「極秘のM&A案件で、本日中に相手先へ送金する必要がある。機密事項なので他言しないように」といった緊急かつ秘密裏の指示をメールなどで送ります。部下は上司からの指示を疑いにくく、プレッシャーから要求に応じてしまう傾向を利用したシナリオです。

公的機関や金融機関を名乗る調査依頼

警察、税務署、裁判所といった公的機関や、利用している銀行の担当者を名乗るのも古典的なプリテキスティングの手口です。

例えば、「あなたの口座が不正利用の疑いで凍結されています。解除のために口座番号と暗証番号を教えてください」といった口実で接触してきます。また2026年4月には、警察組織を名乗る詐欺グループにより、「捜査協力の一環」と称して会社資金を流出させられた事件も実際に発生しました。

下記の資料中には、デジタルフォレンジック調査によって判明したプリテキスティングの詳細な流れが報告されています。

参考

はてな[3930]：特別調査委員会による調査報告書の公表及び役員報酬の一部自主返上に関するお知らせ

多くの人は公的機関や金融機関に対して高い信頼を寄せているため、その権威を悪用されると、疑うことなく個人情報を渡してしまう危険性があるのです。

デジタルフォレンジックとは？調査の目的から手順を解説

プリテキスティングが引き起こす深刻な被害

プリテキスティング攻撃が成功すると、その影響は単なる情報漏洩にとどまらず、組織の存続を脅かすほどの深刻な被害に発展する可能性があります。攻撃者は、だまし取った情報や金銭を足がかりに、さらなる不正行為を働くことも少なくありません。

プリテキスティングによって引き起こされる、代表的な3つの被害は下記のとおりです。

多額の金銭的損害

プリテキスティングによる最も直接的な被害は、金銭的な損害です。特に、CEO詐欺や取引先を装った振込先変更詐欺などでは、一度の攻撃で数千万円から数億円といった巨額の資金が不正に送金されてしまうケースも報告されています。

攻撃者は、組織の決算期や大型連休前など経理部門が多忙で確認が疎かになりがちな時期を狙うことが多く、一度送金してしまうと被害の回復は極めて困難です。

機密情報や個人情報の漏洩

従業員のIDやパスワードといった認証情報が盗まれると、攻撃者はそれを悪用して社内システムへ不正にアクセスします。その結果、組織の技術情報、開発中の製品データ、財務情報といった経営に関わる重要な機密情報が外部に流出する可能性があります。

また、システム内に保管されている顧客の個人情報や取引先の連絡先などが漏洩すれば、被害は自社だけでなく、関係各所にも拡大し、二次被害を引き起こす原因となります。

組織の社会的信用の失墜

大規模な金銭被害や情報漏洩インシデントが発生したことが公になると、社会的信用は大きく損なわれます。「セキュリティ管理が杜撰な組織」というレッテルを貼られ、顧客離れや取引停止につながるかもしれません。

信用の回復には長い時間と多大なコストがかかり、場合によっては株価の暴落やブランドイメージの著しい低下を招くなど、事業の継続そのものに深刻な影響を及ぼすことになります。

個人でできるプリテキスティングへの対策

プリテキスティングは組織を狙った攻撃が多いものの、個人がターゲットになるケースも少なくありません。巧妙な手口から身を守るためには、日頃からセキュリティ意識を高め、冷静な対応を心掛けることが重要です。

本項では、個人レベルで実践できる基本的な対策を3つ紹介します。

安易に個人情報や認証情報を教えない

最も基本的な対策は、電話やメール、SNSなどで個人情報や認証情報を安易に教えないことです。

銀行員や警察官、あるいはIT管理者を名乗る人物からパスワードや暗証番号、マイナンバーなどを聞かれたとしても、決して即答してはいけません。正規の組織が、本人確認の目的外でそのような重要情報を電話やメールで直接尋ねることは通常ありません。

常に「疑う」姿勢をもつことが最初の防御線となります。

緊急性を煽られても冷静に判断する

プリテキスティングの攻撃者は、「至急」「本日中」「今すぐ」といった言葉を使い、ターゲットに考える時間を与えず、判断を急がせようとします。このような緊急性を強調する要求は、詐欺の典型的な兆候です。

プレッシャーを感じても一度立ち止まり、「本当にこの要求は正当なものか」「なぜこんなに急がせる必要があるのか」と自問自答する時間をもつようにしましょう。焦って行動する前に、一呼吸置く習慣をつけることをおすすめします。

少しでも怪しいと感じたら公式窓口に確認する

連絡の内容に少しでも不審な点があれば、必ず公式な手段で事実確認をおこなうことも確実な対策の一つです。

相手が名乗った組織のウェブサイトを自分で検索し、そこに記載されている公式の電話番号や問い合わせフォームを利用して確認を取りましょう。相手から伝えられた電話番号にかけ直したり、メールに返信したりしてはいけません。

この「コールバック」と呼ばれる一手間が、被害を未然に防ぐうえで極めて効果的です。

組織が実施すべき組織的なプリテキスティング対策

プリテキスティングによる被害を最小限におさえるためには、従業員個人の注意だけに頼るのではなく、組織的な対策を講じることも不可欠です。以下のように、技術的な対策と人的な対策（ルール作りや教育）を組みあわせることで、多層的な防御体制を構築できます。

従業員へのセキュリティ教育を定期的におこなう

最も重要な対策の一つが、全従業員に対する継続的なセキュリティ教育です。プリテキスティングの具体的な手口や過去の被害事例を共有し、どのような連絡が危険であるかを具体的に学ばせましょう。

また、不審なメールや電話を受けた際に、誰に、どのように報告・相談すればよいのか、エスカレーションフローを明確に定め、全社で共有しておくことで、インシデントの早期発見と迅速な対応が可能になります。

情報セキュリティ教育とは？おすすめの進め方と成功のポイント

情報の取り扱いに関するルールを明確化し周知する

どのような情報が機密情報にあたるのかを定義し、その取り扱いに関する社内ルールを明確に定めることは対策の基本です。

例えば、「電話やメールで認証情報を伝達することを禁止する」「送金や振込先変更の依頼があった場合は、必ず別の手段で二重に確認する」といった具体的な行動基準をポリシーとして策定し、全従業員に徹底させます。

これにより、従業員が判断に迷う場面を減らし、安全な行動を促します。

本人確認のプロセスを厳格化する

機密情報へのアクセス権限の付与や、重要な取引の実行など、セキュリティ上リスクの高い業務においては、本人確認のプロセスを厳格化する対策が有効です。

メールで受けた指示は、必ず発信者本人に電話で確認する（その際、メールに記載された番号ではなく、社内名簿など信頼できる情報源の番号にかける）、といったダブルチェックの仕組みを導入することで、なりすましによる不正な指示を防げます。

多要素認証（MFA）を導入しセキュリティを強化する

人的な対策に加え、技術的な対策も大切です。

多要素認証（MFA）は、IDとパスワードだけでなく、スマートフォンアプリへの通知やSMSで送られる確認コード、生体認証など、複数の要素を組み合わせなければログインできないようにする仕組みです。

万が一プリテキスティングによってパスワードが漏洩してしまっても、MFAが導入されていれば不正アクセスを防げるため、被害を大幅に軽減する有効な対策となります。

MFA（多要素認証）とは？仕組みや2段階認証との違い、導入メリットを解説

プリテキスティングに関するよくある質問

プリテキスティングに関して多く寄せられる質問とその回答をまとめました。基本的な違いから、具体的な手口、そして万が一の際の対処法まで、簡潔に解説します。

プリテキスティングとフィッシングの最も大きな違いは何ですか？

最も大きな違いは標的です。フィッシングが不特定多数に偽メールを送るのに対し、プリテキスティングは特定の個人や組織を標的に定めます。そのうえで、事前調査に基づいた巧妙な作り話を用いて信頼させ、情報をだまし取る点が特徴です。

項目	プリテキスティング	フィッシング
概要	架空の身分や状況（口実）を作り、相手から情報を引き出す手口	偽のメールやWebサイトなどを使い、情報を騙し取る手口
主な特徴	人間心理や信頼を悪用し、説得によって情報を取得	緊急性や不安感を煽り、リンクや添付ファイルを開かせる
対象	特定の個人や組織	不特定多数