从匿名提问中套取个人信息的手法：社会工程学的实例和防御方法

看起来无害的提问最危险

如果是“请告诉我你的住址”这样的提问，收到的时候就能有所警惕。但是，“离你最近的车站是哪里？”“通勤时间大概多久？”“从窗户能看到什么？”这样的提问又如何呢？每一条看起来都是无害的。但是，把这些回答组合起来，有时就能把住址缩小到相当精确的范围。

这就是社会工程学的本质。它是一种把直接问很容易被拒绝的信息，通过间接提问的积累套取出来的技术。这种手法不会想用 1 次提问就得到信息。它会花几天到几周的时间一点点发来提问，积累回答，像拼拼图一样把个人信息拼凑出来。

匿名提问服务，可能成为对这种手法很有利的环境。攻击者可以保持匿名反复发提问，也容易隐藏提问的意图。提问箱的箱主是出于“想回答粉丝的提问”的善意来回答的，所以警惕心往往比较低。

识别位置信息的提问类型

识别位置信息，是社会工程学的主要目的之一。请注意下面这些提问类型。

直接的类型比较容易看出来。“离你最近的车站是哪里”“你住在哪一带”“你的家乡是哪里”。如果是这些提问，应该马上就能察觉到意图吧。

危险的是间接的类型。“通勤时间大概多久？”这个提问，如果已经知道工作地点，就会成为缩小居住区域的线索。“今天天气怎么样？”，把回答的时间和天气信息对照起来，有时就能猜出大致的地区。“附近有好吃的拉面店吗？”，回答店名的话，居住区域的范围就会变窄。“从窗户能看到烟花吗？”，从烟花大会的举办地点和方位，就能成为像三角测量一样推测住址的材料。

更巧妙的，是隔一段时间发送多条提问的类型。第 1 周问“遛狗的路线是哪里？”，第 2 周问“常去的超市是哪家？”，第 3 周问“早上慢跑跑几分钟？”。单独看都无害，但把 3 条回答标在地图上，也许就能把居住地缩小到相当窄的范围。

掌握行为模式的提问类型

不仅是位置信息，也有想要掌握日常行为模式的提问。这种类型有时会作为跟踪行为的前期步骤出现。

“早上几点起床？”“工作到几点？”“休息日做什么？”“你去健身房吗？星期几？”把这些回答组合起来，可能几乎就能描绘出目标 1 周的日程。什么时候在家，什么时候外出，可能去哪里。

“宠物叫什么名字？”“生日是哪天？”“喜欢的数字是什么？”这类提问，乍一看像是为了了解性格的提问，但也可能是在收集密码或安全问题的答案。在把“宠物的名字”“母亲婚前的姓氏”“最初上的学校”等用作安全问题的服务里，这些信息可能成为盗取账号的线索。

“有男朋友（女朋友）吗？”“一个人住吗？”“家里有几口人？”这些看起来只是单纯的好奇，有时却是在探查生活环境的弱点。一个人住、在特定的时间段家里没有人，都是关系到人身安全的信息。

是否应该回答的判断标准

没有必要怀疑所有的提问。可以认为，收到的提问大多是出于单纯的好奇心或交流的目的。但是，如果养成在回答之前应用下面 3 条判断标准的习惯，就更容易降低风险。

判断标准 1：“陌生人读了这条回答，能推测出我的所在地或行为模式吗？”回答里包含专有名词（店名、车站名、设施名）时尤其要注意。专有名词直接对应地图上的坐标。

判断标准 2：“把这条回答和过去的回答组合起来，能推测出新的信息吗？”即使单独一条回答无害，把几条回答组合起来，信息也可能被识别出来。重要的是留意自己过去回答过什么样的提问。

判断标准 3：“不回答这条提问，提问者会为难吗？”提问箱是娱乐，并没有回答所有提问的义务。只要稍微感到不安，不回答就是最安全的选择。不回答，提问者也不会因此蒙受很大的损失吧。

拿不准就不回答。这是简单而有效的防御对策之一。

安全地回答的技巧

想回答提问，又担心个人信息泄露时，有意识地降低信息精细程度的技巧很有效。

被问到地区时，不说到市区町村（日本的基层行政区），而是在都道府县（日本的一级行政区）的层面回答。“东京偏东边一带”这种程度，被识别的风险应该很低。被问到时间时，不说准确的时刻，而是模糊成“我是早起型”“我是夜猫子型”这种程度。被问到店名时，避开专有名词，概括成“附近的连锁店”。

另一个有效的方法，是把提问的意图挪开一点再回答。对“离你最近的车站是？”这个提问，像“车站名保密，不过从车站走路就能到。车站前的站着吃的荞麦面店是我早上的乐趣”这样，在避开位置信息的同时写成能传达为人的回答，就能在降低信息泄露风险的同时回答提问。

也请活用管理页面上的提问者 ID。如果同一个提问者 ID 反复发来关于位置信息或行为模式的提问，就应该怀疑可能是有意的信息收集。最安全的做法是无视并删除来自那个 ID 的所有提问。

提问箱是用来享受的工具。但是，要享受，安全是前提。请时刻意识到“想回答”的心情和“应该守住的信息”之间的平衡，只要稍有违和感，就优先防御。