問75
頻出度★★★
銀行やクレジットカード会社などを装った偽のWebページを開設し,金融機関や公的機関などを装った偽の電子メールなどで,利用者を巧みに誘導して,暗証番号やクレジットカード番号などの個人情報を盗み取る行為を何と呼ぶか。
平成22年度 秋期 ITパスポート試験 問75
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 75
错误ア
破解（cracking）是对他人的计算机或网络进行非法入侵，实施数据窃听、篡改、破坏等恶意行为的统称。它以攻破系统漏洞、突破身份认证之类的技术性攻击为核心，并不是专门用来表示本题这种「用虚假网站和虚假邮件让用户本人输入个人信息」的手法的词。
错误イ
缓冲区溢出是指：向程序准备好的内存区域（缓冲区）送入超过其容量的数据，用溢出的部分破坏相邻区域，从而使非法程序被执行的攻击手法。它是针对程序实现上的漏洞的技术性攻击，与把用户诱导到虚假网站的欺诈手法无关。
- ウ
正解 正确答案是 ウ 的「钓鱼」。钓鱼（phishing）是指：冒充真实存在的银行、信用卡公司、金融机构、公共机构等，发送虚假的电子邮件或短信，把用户诱导到做得与真网站几乎一模一样的虚假网页（钓鱼网站）上，让用户自己输入密码、登录口令、信用卡号等个人信息，从而窃取这些信息的行为。题干中的「伪装后的虚假网页」「伪装后的虚假电子邮件」「巧妙地诱导用户」「盗取个人信息」这 4 点，全部与钓鱼的典型手法要素一一对应。它最大的特征在于：不是在技术上攻破系统，而是利用用户的信任与思维定式这一心理层面的弱点（属于社会工程学手法）。
错误エ
机器人程序（Bot）是指让被感染的计算机可以被外部的指令服务器远程操控的恶意程序（恶意软件）。大量被感染的终端会组成僵尸网络（botnet），被用作大量发送垃圾邮件或发动 DDoS 攻击的跳板。它属于恶意软件的一种，并不是用来指「用虚假网页和虚假邮件骗取个人信息」这一行为本身的术语。
ここがポイント
- 钓鱼 ＝ 冒充真实存在的组织，用虚假邮件加虚假网站诱导用户，让用户本人输入密码、信用卡号等个人信息从而骗取信息的手法。要记住它属于利用人的心理弱点的社会工程学类攻击。
- 把安全术语分成三类来整理，就容易区分选项：「在技术上攻击系统的」（破解、缓冲区溢出）、「欺骗用户的」（钓鱼、一键诈骗）、「恶意程序本身」（机器人程序、病毒、蠕虫）。
用語