問86
頻出度★★★
情報セキュリティにおけるソーシャルエンジニアリングの例として，適切なものはどれか。
平成28年度 春期 ITパスポート試験 問86
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 86
- ア
正解 ソーシャルエンジニアリングとは、コンピュータやネットワークの技術ではなく、人間の心理的な隙や油断・信頼関係を突いて機密情報を盗み出す手口を指す。アは、外部から「社員のふり(なりすまし)」をして電話をかけ、相手を信用させて社内の機密情報を口頭で聞き出す行為であり、まさに人間を欺いて情報を得る典型的なソーシャルエンジニアリングの例である。したがってアが正しい。
不正解イ
送信元IPアドレスを偽装したパケットでアクセス制限をすり抜けるのは「IPスプーフィング」であり、パケットを技術的に偽装するネットワーク攻撃。人間を欺く手口ではないためソーシャルエンジニアリングには当たらない。
不正解ウ
ネットワーク上を流れるパケットを盗聴してパスワードなどを盗むのは「盗聴(スニッフィング)」であり、通信を技術的に傍受する攻撃。人的な心理を突く手口ではないためソーシャルエンジニアリングには該当しない。
不正解エ
実行すると不正な動作をするソフトウェアをダウンロードするのは、マルウェア(トロイの木馬など)を仕込ませる手口。悪意あるプログラムによる攻撃であり、人を直接だまして情報を聞き出すソーシャルエンジニアリングとは区別される。
ここがポイント
- ソーシャルエンジニアリングは、技術ではなく人間の心理・行動の隙(信頼・油断・親切心など)を突いて機密情報を入手する手口。なりすまし電話・のぞき見・ゴミ箱あさり(トラッシング)などが代表例。
- IPスプーフィング・盗聴(スニッフィング)・マルウェアは、いずれも技術的手段による攻撃であり、人的手口であるソーシャルエンジニアリングとは対比して覚える。
用語