問89
頻出度★★★
企業の従業員になりすまして ID やパスワードを聞き出したり, くずかごから機密情報を入手したりするなど, 技術的手法を用いない攻撃はどれか。
令和5年度 ITパスポート試験 問89
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 89
不正解ア
ゼロデイ攻撃は、ソフトウェアの脆弱性が発見されてから修正プログラム（パッチ）が提供されるまでの無防備な期間を突く攻撃。未知の脆弱性を突くという高度な技術的手法を用いる攻撃であり、「技術的手法を用いない」という設問の条件に反する。
- イ
正解 正解は「イ ソーシャルエンジニアリング」。ソーシャルエンジニアリングとは、コンピュータやネットワークの技術的な脆弱性ではなく、人間の心理的な隙や行動のミスにつけ込んで機密情報を盗み出す手口の総称。設問の「従業員になりすまして ID やパスワードを聞き出す」（なりすまし・電話やメールでの詐取）や「くずかごから機密情報を入手する（トラッシング／スキャベンジング）」は、いずれもプログラムや暗号解読などの技術を一切使わず、人や捨てられた紙資料を標的にしている。これがまさにソーシャルエンジニアリングの典型例であり、設問の「技術的手法を用いない攻撃」という条件に一致する。
不正解ウ
ソーシャルメディアは SNS など人同士が情報を発信・共有するインターネット上のサービスを指す言葉であり、そもそも攻撃手法ではない。名前が「ソーシャル」で始まる点で紛らわしいが、攻撃の名称ではないので誤り。
不正解エ
トロイの木馬は、無害なソフトウェアを装ってコンピュータに侵入し、裏で不正な動作を行うマルウェア（悪意のあるプログラム）。プログラムを用いた技術的な攻撃であり、人をだまして情報を聞き出す非技術的な手口ではないため誤り。
ここがポイント
- ソーシャルエンジニアリング＝技術ではなく人の心理や行動の隙を突いて機密情報を入手する手口。なりすましによる聞き出し、のぞき見（ショルダーハッキング）、ごみ箱あさり（トラッシング）が代表例。
- ゼロデイ攻撃・トロイの木馬は技術（脆弱性悪用・マルウェア）を使う攻撃、ソーシャルメディアはそもそも攻撃ではない、という対比で識別する。
用語