匿名質問から個人情報を抜き取る手口 - ソーシャルエンジニアリングの実例と防御法

無害に見える質問が最も危険である

「住所を教えてください」という質問が届いたら、誰でも警戒します。しかし「最寄り駅はどこですか」「通勤時間はどのくらいですか」「窓から何が見えますか」という質問はどうでしょうか。一つひとつは無害に見えます。しかし、これらの回答を組み合わせると、住所をかなりの精度で絞り込めます。

これがソーシャルエンジニアリングの本質です。直接聞けば拒否される情報を、間接的な質問の積み重ねで引き出す技術です。攻撃者は 1 回の質問で情報を得ようとはしません。数日から数週間にわたって少しずつ質問を送り、回答を蓄積し、パズルのピースを組み合わせるように個人情報を構築していきます。

匿名質問サービスは、この手口にとって理想的な環境です。攻撃者は匿名のまま何度でも質問を送れ、質問の意図を隠しやすい。質問箱のオーナーは「フォロワーからの質問に答えたい」という善意で回答するため、警戒心が低くなりがちです。

位置情報を特定する質問パターン

位置情報の特定は、ソーシャルエンジニアリングで最も多い目的です。以下のような質問パターンに注意してください。

直接的なパターンは比較的わかりやすいです。「最寄り駅は」「どの辺に住んでるの」「地元はどこ」。これらは多くの人が警戒できます。

危険なのは間接的なパターンです。「通勤時間どのくらい？」という質問は、勤務先が既知であれば居住エリアを絞り込む手がかりになります。「今日の天気どう？」は、回答のタイミングと天気情報を照合すれば地域を特定できます。「近所に美味しいラーメン屋ある？」は、店名を答えた瞬間に居住エリアが確定します。「窓から花火見える？」は、花火大会の開催地と方角から住所を三角測量的に推定できます。

さらに巧妙なのは、複数の質問を時間差で送るパターンです。1 週目に「犬の散歩コースは？」、2 週目に「よく行くスーパーは？」、3 週目に「朝のジョギングで何分走る？」。個別には無害ですが、3 つの回答を地図上にプロットすると、居住地が半径数百メートルまで絞り込めます。

行動パターンを把握する質問パターン

位置情報だけでなく、日常の行動パターンを把握しようとする質問もあります。ストーカー行為の前段階として行われることが多いパターンです。

「朝何時に起きる？」「仕事は何時まで？」「休みの日は何してる？」「ジムに通ってる？ 何曜日？」。これらの回答を組み合わせると、ターゲットの 1 週間のスケジュールがほぼ完成します。いつ家にいて、いつ外出していて、どこに行く可能性が高いか。

「ペットの名前は？」「誕生日いつ？」「好きな数字は？」といった質問は、一見パーソナリティを知るための質問に見えますが、パスワードやセキュリティの質問の回答を収集している可能性があります。多くのサービスのセキュリティ質問は「ペットの名前」「母親の旧姓」「最初に通った学校」などであり、これらの情報はアカウント乗っ取りに直結します。

「彼氏 (彼女) いる？」「一人暮らし？」「家族構成は？」も、単なる好奇心に見えて、実は生活環境の脆弱性を探る質問です。一人暮らしであること、特定の時間帯に家に誰もいないことは、物理的な安全に関わる情報です。

回答すべきかどうかの判断基準

すべての質問を疑ってかかる必要はありません。大多数の質問は純粋な好奇心や交流目的です。しかし、回答する前に以下の 3 つの判断基準を適用する習慣をつけると、リスクを大幅に低減できます。

判断基準 1: 「この回答を見知らぬ人が読んだとき、自分の居場所や行動パターンを推測できるか」。回答に固有名詞 (店名、駅名、施設名) が含まれる場合は特に注意です。固有名詞は地図上の座標に直結します。

判断基準 2: 「この回答を、過去の回答と組み合わせたとき、新たな情報が推測できるか」。1 つの回答だけでは無害でも、蓄積された回答の組み合わせで情報が特定される可能性があります。過去にどんな質問に答えたかを意識しておくことが重要です。

判断基準 3: 「この質問に答えなかったとき、質問者は困るか」。質問箱は娯楽であり、すべての質問に答える義務はありません。少しでも不安を感じたら、回答しないのが最も安全な選択です。回答しなかったことで質問者が被る不利益はゼロです。

迷ったら答えない。これが最もシンプルで効果的な防御策です。

安全に回答するためのテクニック

質問に答えたいが、個人情報の漏洩が心配な場合、情報の粒度を意図的に下げるテクニックが有効です。

地域を聞かれたら、市区町村ではなく都道府県レベルで答える。「東京の東側のほう」程度なら、特定のリスクは低いです。時間を聞かれたら、正確な時刻ではなく「朝型です」「夜型です」程度にぼかす。店名を聞かれたら、固有名詞を避けて「近所のチェーン店」のように一般化する。

もう一つ有効なのは、質問の意図をずらして回答する方法です。「最寄り駅は？」に対して「駅名は秘密ですが、駅から徒歩圏内です。駅前の立ち食いそばが朝の楽しみです」のように、位置情報を避けつつ人柄が伝わる回答にすると、質問者も満足し、情報漏洩のリスクも回避できます。

管理画面の投稿者 ID も活用してください。同一の投稿者 ID から、位置情報や行動パターンに関する質問が繰り返し届いている場合は、意図的な情報収集の可能性を疑うべきです。その ID からの質問はすべて無視し、削除するのが安全です。

質問箱は楽しむためのツールです。しかし、楽しむためには安全が前提です。「答えたい」という気持ちと「守るべき情報」のバランスを常に意識し、少しでも違和感を覚えたら防御を優先してください。

ソーシャルエンジニアリングや情報漏洩対策について詳しく知りたい方は、情報セキュリティの関連書籍も参考になります。