問75
頻出度★★★
銀行やクレジットカード会社などを装った偽のWebページを開設し,金融機関や公的機関などを装った偽の電子メールなどで,利用者を巧みに誘導して,暗証番号やクレジットカード番号などの個人情報を盗み取る行為を何と呼ぶか。
平成22年度 秋期 ITパスポート試験 問75
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 75
不正解ア
クラッキングは、他人のコンピュータやネットワークへ不正に侵入し、データの盗聴・改ざん・破壊などの悪意ある行為を行うことを指す総称。システムの脆弱性や認証の突破といった技術的な攻撃が中心であり、偽サイトと偽メールで利用者本人に個人情報を入力させるという本問の手口を特定して表す語ではない。
不正解イ
バッファオーバフローは、プログラムが用意したメモリ領域 (バッファ) の容量を超えるデータを送り込み、あふれた部分で隣接領域を破壊して不正なプログラムを実行させる攻撃手法。プログラムの実装上の脆弱性を突く技術的攻撃であって、利用者を偽サイトへ誘導する詐欺的手口とは無関係である。
- ウ
正解 正解は ウ の「フィッシング」。フィッシングとは、実在する銀行・クレジットカード会社・金融機関・公的機関などになりすました偽の電子メールやSMSを送り付け、本物そっくりに作った偽の Web ページ (フィッシングサイト) へ利用者を誘導して、利用者自身の手で暗証番号・パスワード・クレジットカード番号などの個人情報を入力させ、それを盗み取る行為をいう。設問文にある「装った偽の Web ページ」「装った偽の電子メール」「利用者を巧みに誘導」「個人情報を盗み取る」という 4 点が、すべてフィッシングの典型的な手口の要素にそのまま対応している。技術的にシステムを破る攻撃ではなく、利用者の信用・思い込みという心理面につけ込む点 (ソーシャルエンジニアリング的手法) が最大の特徴である。
不正解エ
ボットは、感染したコンピュータを外部の指令サーバから遠隔操作できるようにする不正プログラム (マルウェア) のこと。多数の感染端末がボットネットを構成し、迷惑メールの大量送信や DDoS 攻撃の踏み台にされる。マルウェアの一種であり、偽の Web ページと偽メールで個人情報を詐取する行為そのものを指す用語ではない。
ここがポイント
- フィッシング＝実在の組織になりすました偽メール＋偽 Web サイトで利用者を誘導し、暗証番号やクレジットカード番号などの個人情報を本人に入力させて詐取する手口。人の心理を突くソーシャルエンジニアリング系の攻撃である点を押さえる。
- セキュリティ用語は「技術的にシステムを攻撃するもの」(クラッキング、バッファオーバフロー) と「利用者をだますもの」(フィッシング、ワンクリック詐欺) と「不正プログラムそのもの」(ボット、ウイルス、ワーム) に分類して整理すると選択肢を切り分けやすい。
用語