この問題の解説と、これまでの解答の記録です。
情報セキュリティの脅威に関する説明①～③と，用語の適切な組合せはどれか。 ① Webページに，利用者の入力データをそのまま表示するフォーム又は処理があるとき，第三者が悪意あるスクリプトを埋め込み，訪問者のブラウザ上で実行させることによって，cookieなどのデータを盗み出す攻撃 ② 多数のPCに感染し，ネットワークを介した指示に従ってPCを不正に操作することによって，一斉攻撃などを行うプログラム ③ 利用者に有用なプログラムと見せかけて，インストール及び実行させることによって，利用者が意図しない情報の破壊や漏えいを行うプログラム
①のXSSは正しいが、②と③が入れ替わっている。②の「多数のPCを遠隔指示で一斉に操作」はボットの説明であってトロイの木馬ではなく、③の「有用なソフトに偽装して実行させる」はトロイの木馬であってボットではない。②③が逆なので誤り。
正解 ①②③はそれぞれ次の脅威の定義である。①は「利用者の入力をそのまま表示するWebページ（脆弱なフォーム／処理）に第三者が悪意あるスクリプトを仕込み、訪問者のブラウザ上で実行させて cookie などを盗む」攻撃で、これはクロスサイトスクリプティング（XSS）そのもの。②は「多数のPCに感染し、ネットワーク経由の指示に従ってPCを不正操作し一斉攻撃を行うプログラム」で、遠隔操作されるボット（BOT）＝ボットネットを構成するマルウェア。③は「有用なソフトに見せかけてインストール・実行させ、裏で情報の破壊や漏えいを行うプログラム」で、正体を偽装して侵入するトロイの木馬。よって①クロスサイトスクリプティング・②ボット・③トロイの木馬となり、正解は「イ」。
①を標的型攻撃としている点が誤り。標的型攻撃は特定の組織・個人を狙ってメール等で侵入する攻撃全般を指し、①の「入力をそのまま表示するWebページにスクリプトを埋め込む」という手口の説明はXSSに対応する。さらに②をXSSとするのも誤りで、②はボットの説明である。
①を標的型攻撃とする点が誤り（①はXSS）。加えて③をXSSとしているが、③の「有用なプログラムに見せかけて実行させ破壊・漏えいを行う」はトロイの木馬の説明であり、Webブラウザ上でスクリプトを実行させるXSSとは別物。用語の対応がすべてずれている。