ソーシャルエンジニアリングの一例

チョコレートと交換でパスワードを教えた人、7割を超える--英調査

以前から、セキュリティホールをアタックするより
直接電話をかけて、『パスワード忘れちゃったんで
教えてくれます？』というのが、早いというのは言わ
れてましたが、この CNET japan記事から考えると
盗み聞きしたりゴミ箱をあさるより、正々堂々と
チョコレートバー１本で教えてもらう方が簡単だな。
１／３の人は即OKで、２／３の人は「どうせ、ペットか
子供の名前でしょ」とつっこんでみると、さらに１／３の
人があきらめて答えたとのこと。

この調査の結論は、「雇用主のポリシー不行届き、
ユーザー教育なっとらん」ということみたいですが、
そもそもそのポリシー自体に運用上のムリがあるのでは
ないかとも思う。守れない守る人のいないルールなんてねぇ。
何十とあるパスワードをそれぞれ別々でかつ意味のない
文字の集合（完全にユニークな状態）を覚えている人が
いるんだろうか。バイオメトリックス認証やスマートカード
に興味を示している人が多いのも、納得。

ポリシーは守れる職場環境をつくって、守れるような
ポリシーを策定しようよ。まあ破る人は、どんなのだって
破るんでしょうけど。