ショルダーサーフィンとは──被害事例と最新の防止策・企業対応ガイド

2025年12月11日 最終更新日時 : 2025年12月11日 エバープレイ編集部

はじめに：ショルダーサーフィンとは何か

ショルダーサーフィン（shoulder surfing）は、他人の肩越しに画面やキーボード操作を覗き見して、パスワード、暗証番号（PIN）、ワンタイムパスワード（OTP）、クレジットカード番号などの機密情報を不正に取得する攻撃手法の総称です。公共空間、店舗のレジ、ATM、電車内、カフェなど、人が密集した場所で発生しやすく、スマートフォンやモバイル決済の普及に伴って被害機会が増えています。

攻撃の手口と観察される状況

ショルダーサーフィンには単純な覗き見から、協力者を使った複数人組織的行為、遠隔から望遠レンズやカメラで撮影する手口、映像を解析して情報を抽出する手法まで多様なバリエーションがあります。主なパターンは次の通りです。

  • 直接観察：被害者のすぐ後ろや斜め後方で入力画面を直接目視する。
  • 間接撮影：スマートフォンや小型カメラで撮影し、後でゆっくり解析する。
  • 協力型：周囲にいる別の人物が視界を遮ったり、被害者の注意を逸らすフリをして入力をうかがう。
  • 映像解析：撮影した映像の拡大やフレーム解析で数字やパターンを読み取る。

被害例とリスクの広がり

ショルダーサーフィンの典型的被害はATMでの不正引き出しや、店舗でのカード情報取得、企業内での認証情報窃取による機密データ流出などです。スマートフォンの画面は小さくとも、入力動作や画面遷移からPINやパスワードの長さや一部の文字を推測されることがあります。さらに、取得した認証情報を用いてリプレイや不正アクセスを行えば、金銭被害や個人情報漏洩につながります。

技術的・物理的対策

ショルダーサーフィン対策は、技術的手法と物理的対策、そして人的対策を組み合わせるのが効果的です。代表的な対策を以下に示します。

  • プライバシーフィルター（視野角制限フィルム）：画面の視野角を狭め、正面以外からは画面が判読できないようにする。
  • マスキング・オブスクーフィケーション：入力中の文字をアスタリスクで表示する、画面上の重要情報を短時間で自動的に隠す。
  • ダイナミックキーボード：PIN入力時にキーボードのキー配列を乱数化することで、観察だけではどの数字が押されたか分かりにくくする（ATMや専用端末での採用例がある）。
  • 生体認証の導入：指紋、顔認証などを取り入れると、画面入力による漏洩リスクを低減できる。ただし生体情報自体の保護と、なりすまし対策が必要。
  • 二要素認証（2FA）：単一の知識情報（パスワード、PIN）のみでなく、所有（トークン）や生体等を組み合わせることで、観察で得た情報だけでは不正利用できないようにする。
  • 物理的レイアウトの改善：ATMや受付端末の位置を工夫し、後方に物理的な仕切りを設ける。
  • カメラ検知・警告：公共端末において、近傍にカメラや不審な撮影機器が検出されると警告するシステムを検討するケースもある（実装コストとプライバシー配慮が必要）。

人的対策と教育

日常的にできる対策として、ユーザー教育は極めて重要です。組織内外を問わず、以下のポイントを周知することで被害を減らせます。

  • 画面や入力操作を人目の多い場所で行わない習慣づけ。
  • ATMやタブレット端末で入力する際は体や手で画面を隠す、背後を確認する。
  • パスワードやPINは他人と共有しない。メモに記す場合は安全な場所に保管する。
  • 不審な視線や撮影行為に気付いたら即座に操作を中止し、通報する。

企業・組織での導入ガイドライン

組織が対策を進める際は、単発の対策ではなくリスク評価を基にした多層防御（defense-in-depth）が望まれます。実務でのポイントは次の通りです。

  • リスクアセスメント：どの業務・端末が観察リスクに晒されやすいかを評価する。
  • 端末管理：公共に置かれる端末やBYOD端末に対してプライバシーフィルターやOSレベルの入力保護を標準支給する。
  • 認証ポリシー：重要資産アクセスには多要素認証を義務付け、単純なPINや使い回しパスワードを禁止する。
  • 職場環境設計：受付や窓口のレイアウトを見直し、来訪者から職員の入力が見えない配置にする。
  • 監査とログ：不正アクセスの兆候を監視する。観察による情報窃取は、その後の不正ログインで検出されるケースが多い。
  • 教育と訓練：定期的なセキュリティ教育とフィジカルセキュリティのワークショップを行う。

技術対策の限界とユーザビリティの考慮

技術対策は効果的ですが、利便性とのトレードオフが生じます。例えば、ダイナミックキーボードは観察耐性が上がる一方で入力時間が延び、ユーザビリティを損ねる場合があります。生体認証は便利ですが、導入コストや誤認率（FAR/FRR）、ハードウェア故障時の代替手段を設計する必要があります。現実的には、複数の対策を組み合わせ、業務フローに過度な負担をかけないバランスが重要です。

法的側面

ショルダーサーフィン自体が直接に法的に明確に分類されるかは国や地域で差がありますが、他人の認証情報を取得して不正アクセスや詐欺に用いれば多くの国で刑事責任を問われます。たとえば日本では不正アクセス禁止法や詐欺罪などが関連し得ます。組織は被害が生じた場合の報告体制や法的対応フローを整備しておくべきです。

実務チェックリスト（導入・評価用）

  • 公共端末や受付端末にプライバシーフィルターを装着しているか。
  • 重要な画面入力に対し多要素認証を導入しているか。
  • 画面周辺のレイアウトが覗き見リスクを低減するよう設計されているか。
  • 従業員・利用者に対して定期的な教育を実施しているか。
  • 疑わしい視線や撮影があった場合の通報フローを周知しているか。
  • 端末操作ログや認証ログを監視し、異常なアクセスを検知できる体制があるか。

まとめ

ショルダーサーフィンは一見原始的な手口に思えますが、被害は現実的で継続的です。対策はプライバシーフィルターやダイナミックキーボードなどの物理・技術的手段、二要素認証や生体認証などの認証強化、そして利用者教育と環境設計の組合せが鍵になります。企業はリスク評価に基づく多層防御を採用し、日常的な利用者行動の変化にも対応できる体制を整備してください。

参考文献

カテゴリー
IT
前の記事
ターミネーターシリーズ徹底解説：歴史・テーマ・製作・評価まで総まとめ
2025年12月11日
次の記事
マーベル映画の進化と影響：MCUの歴史・構造・今後を徹底解説
2025年12月11日