問87
頻出度★★★
攻撃者が，システムの利用者になりすましてシステム管理者に電話をかけ，パスワードを忘れたと言ってパスワードを初期化してもらい，システムに侵入した。このような行為を何というか。
平成22年度 春期 ITパスポート試験 問87
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 87
不正解ア
DoS 攻撃 (Denial of Service) は、大量のリクエストや不正なパケットをサーバに送りつけて負荷をかけ、サービスを停止・妨害する攻撃です。目的はサービスの可用性を奪うことであり、本問のようにパスワードを入手してシステムに侵入する行為ではありません。
不正解イ
総当たり攻撃 (ブルートフォース攻撃) は、考えられるパスワードの組合せを機械的に片端から試して正解を探し当てる技術的な攻撃です。本問の攻撃者はパスワードを試行しておらず、管理者に初期化させて受け取っているので当てはまりません。
- ウ
正解 ソーシャルエンジニアリングとは、コンピュータやネットワークの技術的な弱点ではなく、人間の心理的な隙や組織の業務手順の甘さにつけ込んで、パスワードなどの重要情報や権限を不正に入手する行為の総称です。本問では攻撃者が (1) 正規の利用者になりすまして電話をかけ、(2)「パスワードを忘れた」という自然な口実で管理者の善意を利用し、(3) 本人確認が不十分なまま初期化をさせてパスワードを手に入れています。プログラムの解析も暗号の解読も行わず、やり取りしているのは「人」だけである点が決め手です。したがって正解は ウ のソーシャルエンジニアリングです。なお対策も技術ではなく運用側にあり、電話でのパスワード初期化を認めない、本人確認手順を定める、といったルール整備と教育が有効です。
不正解エ
バックドアは、侵入に成功した攻撃者などが後から正規の認証を経ずに再侵入できるように、システムへ仕掛けておく裏口 (不正な入口) のことです。本問は電話による情報詐取が手口であり、システムに裏口を仕掛けた話ではありません。
ここがポイント
- ソーシャルエンジニアリング = 技術ではなく「人」の隙 (なりすまし電話・肩越しの覗き見・ごみ箱あさりなど) を突いて情報を盗む手口。対策は本人確認手順の徹底や社員教育といった運用面が中心。
- 攻撃手法は「何を突くか」で整理する。DoS 攻撃 = 可用性を狙う負荷攻撃、総当たり攻撃 = パスワードを機械的に試行、バックドア = 再侵入用の裏口。本問のように人を騙す手口だけが別カテゴリになる。
用語