問63
頻出度★★★
フィッシングの説明として, 適切なものはどれか。
平成28年度 春期 ITパスポート試験 問63
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 63
不正解ア
ウイルスに感染した PC へ攻撃者がネットワーク越しに指令を送り不正プログラムを実行させるのは、ボット (踏み台) を遠隔操作する攻撃 (ボットネット/C&C サーバによる制御) の説明であり、フィッシングではありません。
- イ
正解 フィッシング (phishing) は、金融機関やクレジットカード会社などの正規の事業者を装った電子メールを送りつけ、本物そっくりに作った偽サイト (フィッシングサイト) へ利用者を誘導し、そこで暗証番号・パスワード・クレジットカード番号といった重要情報を入力させて不正に詐取する攻撃です。選択肢イは「金融機関などからの電子メールを装い、偽サイトに誘導して暗証番号やクレジットカード番号などを不正に取得する」と、この手口をそのまま述べているため正解です。利用者の心理的な隙を突くソーシャルエンジニアリング型の攻撃である点も特徴です。
不正解ウ
パスワードに使われそうな文字列を網羅した辞書データを使ってパスワードを割り出すのは、辞書攻撃 (dictionary attack) の説明です。パスワードそのものを機械的に解析する手口で、偽サイトへ誘導するフィッシングとは異なります。
不正解エ
複数のコンピュータから攻撃対象のサーバへ大量のパケットを送りつけてサーバの機能を停止させるのは、DDoS 攻撃 (分散型サービス妨害攻撃) の説明です。情報を詐取するフィッシングとは目的も手法も異なります。
ここがポイント
- フィッシングの定義: 正規の機関を装った電子メールや偽サイトで利用者を騙し、暗証番号・パスワード・カード番号などの重要情報を詐取するソーシャルエンジニアリング型の攻撃であること。
- 類似する攻撃との区別: ボットの遠隔操作 (ア)、辞書攻撃 (ウ)、DDoS 攻撃 (エ) との違いを、目的 (情報詐取か・サービス妨害か・不正操作か) と手口で見分けること。
用語