本ユニットでは、技術ではなく「人」を狙う攻撃を学びます。心理の隙を突くソーシャルエンジニアリングを起点に、特定組織を執拗に狙う標的型攻撃(APT・水飲み場型・やり取り型)と、利用者を直接だますフィッシング系詐欺(スミッシング・ワンクリック詐欺)へ展開します。情報セキュリティ分野でも最頻出の重要テーマです。
技術ではなく人の心理や行動の隙を突いて機密情報を盗む手口の総称。
ソーシャルエンジニアリングは、システムの脆弱性ではなく「人」を攻撃対象とし、心理の油断や信頼を悪用して情報を聞き出す手口の総称です。具体例として、管理者になりすました電話でパスワードを聞き出す、肩越しに画面をのぞき見る(ショルダーハッキング)、ゴミ箱の書類をあさる(トラッシング)などがあります。 試験では「技術的な攻撃ではない」点が最大のポイントで、対策もファイアウォール等の技術ではなく、社員教育・運用ルール・物理的な遮へいといった人的・物理的対策が中心になります。本ユニットの標的型攻撃やフィッシングも、この親概念の応用にあたります。
たとえ鍵をこじ開けず、宅配業者のふりをして「お届け物です」と声をかけ、住人に自ら玄関を開けさせる空き巣のようなもの。狙うのは錠前ではなく人の油断です。
記憶フックソーシャルエンジニアリングといえば技術でなく人の心理の隙を突く
特定の組織や個人を狙い、業務メール等を装って侵入する攻撃。
標的型攻撃は、不特定多数にばらまくのではなく、特定の企業・官公庁・個人を狙い撃ちにする攻撃です。取引先や業務連絡を装った巧妙なメール(標的型攻撃メール)に不正な添付ファイルやリンクを仕込み、開かせてマルウェアに感染させる手口が代表的です。 試験では、ウイルスをばらまく従来型との違い(=相手を絞り込み、その組織に合わせて偽装する)が問われます。受信者が思わず開いてしまうよう実在の業務文面をまねる点が特徴で、防御には不審メールへの警戒や訓練(標的型攻撃メール訓練)が有効です。後続のAPT・水飲み場型・やり取り型はいずれもこの一種です。
たとえ全員に同じチラシをまく代わりに、ある会社の社員名簿を調べ「○○部長より」と本物そっくりの社内便を一通だけ届け、開封させる手口に似ています。
記憶フック標的型攻撃といえば特定組織を狙い業務メールを装う
特定標的に長期間潜伏し執拗に攻撃を続ける高度標的型攻撃。
APT(Advanced Persistent Threat:高度で持続的な脅威)は、標的型攻撃の中でも特に高度で「持続的(しつこく長期間)」な点が特徴です。一度の侵入で終わらず、組織内に潜伏してじわじわと権限を広げ、長期にわたり機密情報を盗み続けます。 試験では、Persistent=「持続的・執拗」というキーワードと、単発ではなく長期戦である点が問われます。検知されにくいよう静かに活動するため、入口対策だけでなく、侵入後の不審な通信を見つける出口対策や監視も重要になります。標的型攻撃をより高度・長期化させた発展形と理解しましょう。
たとえ一回の侵入で盗んで逃げる泥棒ではなく、家の中にこっそり住み着き、長期間ばれないように少しずつ貴重品を持ち出すスパイのような存在です。
記憶フックAPTといえば長期間しつこく潜伏する持続的な標的型攻撃
標的がよく訪れるWebサイトを改ざんし罠を仕掛ける攻撃。
水飲み場型攻撃は、標的が日常的に閲覧するWebサイトをあらかじめ改ざんして罠を仕掛け、標的がそのサイトを訪れた瞬間にマルウェアに感染させる手口です。攻撃者が標的を直接狙うのではなく、標的の方からやってくる場所で待ち伏せする点が特徴です。 試験では「標的が訪れるサイト側を改ざんして待ち構える」という構図が問われます。メールで罠を送りつける一般的な標的型攻撃と逆の発想で、信頼している正規サイトが汚染されるため利用者が気づきにくいのが厄介な点です。名称は、肉食獣が獲物の集まる水場で待ち伏せする様子に由来します。
たとえ草食動物を直接追いかけず、彼らが必ず水を飲みに来る水辺で身を潜めて待ち構えるライオンのように、相手が来る場所に罠を仕掛けます。
記憶フック水飲み場型攻撃といえば標的が訪れるサイトを罠化して待ち伏せ
正規の問い合わせを装い複数回の対話で信用させてから攻撃する手口。
やり取り型攻撃は、いきなり不正ファイルを送らず、まず無害な問い合わせメール等を装って数回のやり取りを重ね、相手に信用させてから不正な添付ファイルやリンクを送りつける標的型攻撃の一種です。 試験では「複数回のメールのやり取りで信頼を築いてから攻撃する」という時間をかける段取りが問われます。最初の接触が無害なため警戒されにくく、相手が普通の取引相手だと油断したころを狙う点が特徴です。一通で仕掛ける通常の標的型攻撃メールより手間をかけて巧妙に信用させる発展型と捉えましょう。
たとえ詐欺師がいきなり契約を迫らず、まず世間話を何度も重ねて「いい人だ」と信用させてから、頃合いを見て本題の悪事を持ちかけるのと同じ手口です。
記憶フックやり取り型攻撃といえば複数回の対話で信用させてから仕掛ける
正規組織を装った偽メールや偽サイトで個人情報を盗む詐欺。
フィッシング(phishing)は、銀行やカード会社など実在の組織を装ったメールを送り、本物そっくりの偽サイト(フィッシングサイト)へ誘導して、IDやパスワード、クレジットカード番号などを入力させて盗み取る詐欺です。 試験では「正規組織になりすました偽メール・偽サイトで情報を釣る」という構図が頻出です。『緊急』『アカウント停止』などと不安をあおって急がせ、リンクから偽サイトへ誘う点が典型例です。対策は、メール内リンクを安易に踏まず公式サイトを自分でブックマークから開く、URLや証明書を確認する、などです。利用者を直接だます詐欺系の代表格です。
たとえ本物そっくりの銀行の封筒で「口座確認のため暗証番号をご記入を」と書いた偽の用紙を送り、記入して返送させて盗む、なりすまし郵便詐欺のようなものです。
記憶フックフィッシングといえば偽メール・偽サイトで個人情報を釣る
SMS(ショートメッセージ)を使って偽サイトへ誘導するフィッシング。
スミッシング(SMShing)は、フィッシングの媒体をメールではなくSMS(ショートメッセージ)にした亜種です。「荷物のお届けに上がりましたが不在でした」「料金未納のお知らせ」などのSMSを送り、本文中のリンクから偽サイトへ誘導して個人情報を盗んだり不正アプリを入れさせたりします。 試験では「SMSを悪用したフィッシング」である点が問われます。名称はSMSとphishingを合わせた造語です。スマートフォンの短い通知は送信元を見分けにくく、つい本物と思ってリンクを開きやすい点が狙われます。仕組みはフィッシングと同じで、入口がSMSである点だけが違うと押さえましょう。
たとえ電子メールという郵便ではなく、携帯のショートメールという別の連絡手段を使って同じ詐欺を仕掛けるもの。手紙が電話メモに変わっただけで中身は同じ罠です。
記憶フックスミッシングといえばSMSを使ったフィッシング
リンクや画像を一度クリックしただけで料金を不当に請求する詐欺。
ワンクリック詐欺は、Webサイトのリンクや画像、メールのURLなどを一度クリックしただけで「ご登録ありがとうございます」「会員登録が完了しました」などと表示し、契約していないのに高額な利用料金を一方的に請求する古典的な詐欺です。 試験では「クリックだけで契約は成立せず、支払う義務はない」という点が重要です。画面にIPアドレスや個体識別番号を表示して『あなたを特定した』と不安をあおりますが、これだけで個人が特定されることはなく、慌てて連絡・支払いをしないことが正しい対応です。詐欺系を締めくくる定番の手口として押さえましょう。
たとえ街中で看板に一度触れただけで「契約成立、料金を払え」と店員に詰め寄られるようなもの。実際には触れただけで契約は成立せず、応じる必要はありません。
記憶フックワンクリック詐欺といえば一度のクリックで不当に料金請求
関連の過去問演習は今後のアップデートで追加予定です。