問89
頻出度★★★
企業の従業員になりすまして ID やパスワードを聞き出したり, くずかごから機密情報を入手したりするなど, 技術的手法を用いない攻撃はどれか。
令和5年度 ITパスポート試験 問89
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 89
错误ア
零日攻击是指在软件漏洞被发现后、到修复程序（补丁）发布之前这段毫无防护的时期发动的攻击。它是利用未知漏洞的高度技术性攻击手法，与题目「不使用技术手段」这一条件相违背。
- イ
正解 正确答案是「イ 社会工程学」。社会工程学是指不利用计算机或网络的技术性漏洞，而是趁人的心理疏漏或行为失误来盗取机密信息的手法的总称。题目中的「冒充员工套取 ID 或口令」（冒充、通过电话或邮件骗取）以及「从废纸篓中获取机密信息（翻垃圾／拾遗，trashing／scavenging）」，都完全不使用程序或破解密码等技术，而是以人或被丢弃的纸质资料为目标。这正是社会工程学的典型例子，与题目「不使用技术手段的攻击」这一条件相符。
错误ウ
社交媒体是指 SNS 等供人们发布、共享信息的互联网服务，本身根本不是一种攻击手法。它的名称同样以「社交（social）」开头，容易混淆，但并不是攻击的名称，因此错误。
错误エ
特洛伊木马是一种伪装成无害软件侵入计算机、在后台执行恶意操作的恶意软件（恶意程序）。它是利用程序的技术性攻击，而不是欺骗人来套取信息的非技术性手法，因此错误。
ここがポイント
- 社会工程学 = 不依靠技术，而是趁人的心理或行为疏漏来获取机密信息的手法。冒充身份套取信息、偷窥（肩窥，shoulder hacking）、翻垃圾箱（trashing）是代表性例子。
- 通过对比来识别：零日攻击和特洛伊木马是使用技术（利用漏洞、恶意软件）的攻击，而社交媒体根本就不是攻击。
用語