そしきLab編集部 
サイバー攻撃は高度な技術だけで成立しているわけではありません。
多くの場合、その入口にあるのは人の判断を誤らせる「心理操作」です。
ランサムウェアは、メールやWebサイトを通じた人為的な操作をきっかけに侵入することが多いと報告されています。
本コラムでは、相手を自分の思いどおりに誘導させるための手法、「チャルディー二の法則」を手がかりに、標的型攻撃メールが「人の心理」にどのように入り込むのかをわかりやすく解説します。
この音声コンテンツは、記事の文脈をAIが読み取り独自に対話を重ねて構成したものです。文章の読み上げではなく、流れや意図を汲み取った自然な音声体験をお届けします。※AIで作成しているため、一部誤りや不自然な表現が含まれる場合があります。
こんなメールが届いたら？
まず、次のメールを読んでみてください。なにか不審な点があるでしょうか。
＜メール1＞
＜メール2＞
一見、よく届く、なんの変哲もないメールですが、これらのメールに人の心を操るテクニックが仕込まれているとしたら、どうでしょう。
しかもそれが、悪意によるものだとしたら？
ランサムウェアの感染手口「標的型攻撃メール」
ランサムウェアの感染手口としてよく使われる、標的型攻撃についてみていきます。
「情報セキュリティ10大脅威」ナンバーワン
IPA（情報処理推進機構）が公表した「情報セキュリティ10大脅威 2025」組織編では、「ランサム攻撃による被害」が1位にランキングされ、2016年以来、10年連続のランクインとなりました。*1
「ランサムウェア」とは、パソコンやスマートフォンをウイルス感染させ、保存されているファイルなどのデータを無断で暗号化して使用できない状態にして、その復元と引き換えに「身代金」を要求する不正なプログラムのことです。*2
感染手口としての標的型攻撃メール
近年のランサムウェアは、VPN機器などの脆弱性を悪用して侵入するケースが増えています。
しかしその一方で、特定の社員を狙った標的型攻撃メールが感染手口となった事例も依然として多く報告されています。
標的型攻撃とは、特定の組織を狙って、機密情報や知的財産、IDやパスワードなどのアカウント情報を盗もうとする攻撃です。*3
この攻撃では、標的の組織がよくやり取りをする形式のメールを送りつけ、添付ファイルやリンクをクリックさせ、そこからマルウェア配布サイトに誘導するなどの手口がよく使われています。
標的型攻撃メールはソーシャルエンジニアリングの手口を使っています。*4
ソーシャルエンジニアリングとは、技術的な手法ではなく、人の心理的な隙や行動のミスにつけ込み、心理的操作によって攻撃する手法です。
政府広報オンラインでは、心当たりのないメールや不自然な点がある場合は、添付ファイルを開いたりリンクをクリックしたりしないよう警告しています。*2
とはいえ、上でみたような、一見、何の変哲もない業務メールであっても、そこに人の心理に働きかける技法が巧みに組み込まれていたら、どうすればいいのでしょうか。
人の心理を操る手法「チャルディーニの法則」
「チャルディーニの法則」は心理操作の有名な手法で、7つの法則があります。
その一部の法則が標的型攻撃メールを開かせることに有効に働く可能性があることがわかっています。*5
そうした技法を用いることによって、受信者は自分の意思で判断しているつもりでも、実際には無意識のうちに行動を誘導されてしまうことがあります。
「チャルディーニの法則」は最近まで次の6つの法則で構成されていました。
● 返報性（Reciprocation）：「人から受けた恩は、返したくなる（返さなければならない）」という心理法則
● 好意（Liking）：「好意を持っている人からの要請を受けると、積極的に応えようとする」という心理法則
● 社会的証明（Social Proof）：「周囲の動きに同調したくなる」という心理法則
● 権威（Authority）：「肩書や権威などの“権威”を持つ者に対して、信頼を置いてしまう」という心理法則
●希少性（Scarcity）:「限られたものほど、価値があると感じてしまう」という心理法則
● コミットメントと一貫性（Commitment and Consistency）：「自分の行動に一貫性を持たせようとする（持たせたいと考える）」という心理法則
● 社会的証明（Social Proof）：「周囲の動きに同調したくなる」という心理法則
そして、最近、次のような7つめの法則が加わりました。*6
● 一体性：人は自分の身内と考える相手に対してイエスと言いやすいという心理法則
標的型攻撃メールを開きやすくする法則
チャルディーニの法則を用いると、標的型攻撃メールを開かせることに有効に働く可能性があることを明らかにした研究があります。
その分析結果によると、「好意の法則」「権威の法則」「希少性の法則」の手法を使うことによって、標的型攻撃メールを開いてしまう傾向が強まることがわかりました。
それぞれどのようなものか、詳しくみていきましょう。*6
好意の法則
チャルディーニ博士がつけた、「好意」の章の副題は「優しそうな顔をした泥棒」。
ギネスブック公認の「世界で最も偉大な自動車セールスマン」は、次のように語っています。
「何かを売るときに一番効果的なやり方は、客があなたから好かれていると思うように、心底思わせることである」
彼はその手法だけで、平均して1日5台以上の車を売りました。
好意の法則を使ったオンライン・マーケティングでは、受け手と同じ言葉遣いをするのがポイント。効果的なのは、ターゲットのグループと同じ単語、フレーズ、隠語だと指摘されています。
逆にターゲットが使わなかったり理解できなかったりする言葉を使うと、受け手との間に距離が生じ、共感してもらえなくなります。
そして、最初のメールでは、決してなにかしてほしいとは言わないことが秘訣です。
このような「好意」の原則は、標的型攻撃メールにも巧みに応用されている可能性があります。
ハッカーは、受信者と同じ業界用語や社内特有の言い回しを使い、あたかも身近な同僚や取引先であるかのように装っているかもしれません。
自然な文体や親しみのある表現によって警戒心を解き、「この人は自分を理解している」「信頼できる相手だ」と感じさせるのです。
さらに、はじめのうちは直接的な要求を避け、あいさつや軽い情報共有にとどめることで関係性を築こうとします。
そして信頼関係ができたと錯覚させた段階で、添付ファイルの確認やリンクのクリックといった行動を促すかもしれません。
このように、標的型攻撃メールは単なる不審なメールではなく、「優しそうな顔をした泥棒」として近づいてくる場合もあるのです。
親しみやすさや好意的な態度の裏に意図が隠れている可能性があることを常に意識し、冷静に対応することが重要です。
権威の法則
私たちは権威に従う傾向があります。
チャルディーニ博士は、そうした傾向を示す例として、「ミルグラムの実験」を挙げています。
1961年、ナチスドイツのアイヒマン裁判が始まりました。*7
ホロコーストに際して、多くのユダヤ人を強制収容所に移送する任務を指揮したのがアイヒマンです。
どれほど凶暴な人間かと固唾をのんでいた人々は、連行されてきたアイヒマンを一目見て、目を疑います。
予想に反して、ごく善良そうな一市民にしか見えなかったからです。
大量虐殺の責任を問われたアイヒマンは、「自分は命令に従っただけだ」と主張しました。
裁判の翌年、イェール大学の心理学者、スタンレー・ミルグラム（1933～1984）は、後に「アイヒマン実験」とも呼ばれる有名な電気ショック実験を実施します。
この実験では、「体罰と学習効果の関係を調べる」という名目のもと、被験者は隣室にいる生徒役が問題を間違えるたびに、より強い電気ショックを与えるよう実験者から指示されました。
指示を出すのは、大学の研究者という権威ある立場の人物です。
出所）ロバート・B・チャルディーニ著・社会行動研究会訳（2024）『影響力の武器［新版］人を動かす七つの原理』 Kindle版 p.305
実際には生徒役に電気は流れておらず、役者たちが苦しむ演技をしているだけでした。
しかし、被験者はそのことを知りません。
うめき声が次第に絶叫へと変わっていっても、被験者の多くは「大丈夫です！」という実験者の要請にこたえて、より強い電流を流し続けました。
その結果、実に65％の被験者が命の危険がある450Vのショックを与えたのです。
ミルグラムのこの実験から、権威に対する人間の強い服従傾向が明らかになりました。
アイヒマンは私たち自身かもしれないのです。
ここで、＜メール1＞をもう一度、みてみましょう。
黄色の部分が、権威にかかわる文言です。
この1文が入ることで、このメールは「上位者の意向に基づく要請」という意味を帯びています。
受け取った側は、内容を十分に検討してから判断するのではなく、「早く対応しなければならない」「断りにくい」と感じます。
「権威の存在を示唆する一文」が、判断を揺さぶり、行動を促す力を持っているのです。
権威に対する防衛法は、権威がもつ力を十分に意識すること、そして、権威は簡単に捏造できると認識することです。
希少性の法則
人は機会を失いかけると、その機会をより価値あるものとみなします。
この原理を利益のために利用する技術として、「数量限定」「最終期限」といった戦術が使われます。
今行動しなければなにか価値のあるものを失うことになると、思わせようとするのです。
この原理は、商品の価値だけでなく、情報の評価にも作用します。
ここで、＜メール2＞をもう一度みてみましょう。
黄色い部分が、希少性の法則の力技、「最終期限」です。
では、なぜ＜メール2＞は反応を生みやすいのでしょうか。
それは単に締切を設けているからではありません。
「今ここで決めないと、もう二度と得られないかもしれない」という未来の喪失を、読み手に想像させているからです。
情報へのアクセスが制限されると、人はそれを手に入れたくなります。また、他では手に入らない情報を含んでいるとみなすと、メッセージの説得力が増すのです。
希少性の圧力に対して、冷静さを失わずに理性で対抗するのは難しいとされます。それが、思考を困難にしてしまうような情動を引き起こす性質を持っているからです。
その対策として、希少性を含むような状況では、そうした状況であることをまず冷静に受け止め、思慮深い行動をするよう努めることが挙げられます。
おわりに
ランサムウェアは、高度な技術だけで成立しているわけではありません。
その多くは、人の「心理のすき間」に入り込むことから始まります。
最近は生成AIを悪用し、海外から自然な日本語の詐欺メールを送るなど、サイバー攻撃が巧妙化していることも指摘されています。*8
さらに、AI エージェントが企業内で多くの業務を担うようになってきている状況下では、ソーシャルエンジニアリング攻撃が人間からAIエージェントに拡大する危険性もあります。*5
好意、権威、希少性……。
私たちが日常生活の中で自然に働かせているこれらの心理法則は、本来、社会を円滑に回すための大切なメカニズムです。
しかし、その仕組みが悪意によって利用されたとき、私たちの判断は簡単に揺さぶられてしまいます。
標的型攻撃メールが巧妙なのは、怪しさを前面に出すのではなく、「いつものやり取り」に紛れ込む点にあります。
だからこそ重要なのは、「怪しいかどうか」だけで判断するのではなく、「自分の感情が動かされていないか」に気づくことです。
心理の仕組みを知ることは、攻撃者の手口を知ることでもあります。
技術への備えと同時に、「人の心がどう動かされるのか」を理解すること―それが、ランサムウェア時代における、もう1つの重要な防御策ではないでしょうか。
メルマガ限定で配信中
プロが教える“オフィス移転の成功ポイント”
- 組織づくり・ワークプレイスのトレンドを素早くキャッチ
- セミナーやイベント情報をいち早くお届け
- 無料相談会やオフィス診断サービスを優先的にご案内！
この記事を書いた人
資料一覧
*1
出所）IPA独立行政法人 情報処理推進機構「情報セキュリティ10大脅威 2025」
https://www.ipa.go.jp/security/10threats/10threats2025.html
*2
出所）政府広報オンライン「ランサムウェア、あなたの会社も標的に？被害を防ぐためにやるべきこと」（2025年7月10日）
https://www.gov-online.go.jp/article/202210/entry-10263.html
*3
出所）総務省 国民のためのサイバーセキュリティサイト「用語集＞標的型攻撃」
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/glossary/ja_06/
*4
出所）日本ネットワークセキュリティ協会「信頼される安全・安心な企業となるために！＞情報セキュリティの基礎＞7-1 増加する標的型攻撃メール」
https://www.jnsa.org/ikusei/02/07-01.html
*5
出所）畠山渉・髙岩拓海・梶原聖矢・原田竜之介・佐藤靖治・山本匠・山中忠和・大木哲史・西垣 正勝「チャルディーニの法則を用いた標的型メールのAIに対する影響に関する調査」（2025年6月24日）p.5
＊静岡大学学術ジポリトリの「ダウンロード」をクリック
https://shizuoka.repo.nii.ac.jp/records/2001661
*6
出所）ロバート・B・チャルディーニ著・社会行動研究会訳（2024）『影響力の武器［新版］人を動かす七つの原理』 Kindle版 p.124, 134, 144, 305, 346, 428, 429, 430, 533
*7
公益社団法人日本心理学会「心理学ってなんだろう ミルグラムの電気ショック実験」
https://psych.or.jp/interest/mm-01/
*8
出所）日本経済新聞「国内企業のサイバー被害、4割超が年間1千万円以上 民間調査」
https://www.nikkei.com/article/DGXZQOUD128730S5A610C2000000/
組織力の強化や組織文化が根付くオフィス作りをお考えなら、ウチダシステムズにご相談ください。
企画コンサルティングから設計、構築、運用までトータルな製品・サービス・システムをご提供しています。お客様の課題に寄り添った提案が得意です。