問65
頻出度★★★
人の心理的な隙や不注意に付け込んで機密情報などを不正に入手する手法はどれか。
平成29年度 秋期 ITパスポート試験 問65
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 65
不正解ア
DoS攻撃は大量のパケットやリクエストをサーバに送りつけてサービスを停止・妨害させる攻撃で、標的はコンピュータやネットワークである。人の心理につけ込む手法ではないので誤り。
不正解イ
SQLインジェクションはWebアプリの入力欄などに不正なSQL文を注入し、データベースを不正操作して情報を盗む技術的攻撃である。プログラムの脆弱性を突く手法であり、人の心理的な隙を突くものではないので誤り。
- ウ
正解 正解はウのソーシャルエンジニアリング。これは技術的な攻撃ではなく、人の心理的な隙や不注意に付け込んで機密情報を不正に入手する手法を指す。例えば、システム管理者になりすまして電話でパスワードを聞き出す、肩越しに画面やキー入力を盗み見る（ショルダーハッキング）、ごみ箱に捨てられた書類を漁って情報を得る（トラッシング）などが典型例である。設問の「人の心理的な隙や不注意に付け込んで」という表現がまさにソーシャルエンジニアリングの定義そのものなので、ウが正しい。
不正解エ
バッファオーバフローはプログラムが確保したメモリ領域（バッファ）を超えるデータを送り込み、あふれた部分に不正なコードを書き込んで実行させる技術的攻撃である。ソフトウェアの脆弱性を突くもので、人の不注意につけ込む手法ではないので誤り。
ここがポイント
- ソーシャルエンジニアリング＝技術ではなく「人」の心理的な隙・不注意につけ込んで機密情報を入手する手法。なりすまし電話、ショルダーハッキング（肩越しの盗み見）、トラッシング（ごみ漁り）が代表例。
- 他の選択肢（DoS攻撃・SQLインジェクション・バッファオーバフロー）はいずれもコンピュータやプログラムの脆弱性を突く技術的攻撃であり、人の心理を突く手法との違いを区別できることがポイント。
用語