偷窥（盗み見）是指在不被本人察觉的情况下，用眼睛看他人的屏幕、文件或手上的输入动作等，以不正当方式获取信息的行为。
从背后偷看屏幕或手上动作的手法也叫肩窥（ショルダーハック，ショルダーハッキング）。只要用人眼看就能得手，不需要任何特殊工具。
类比就像在 ATM 前排队的人，悄悄看着前面的人按密码的手。
记法英语叫 shoulder surfing。想象从肩膀（shoulder）上方看屏幕的样子就能记住。
考点
窃听（盗聴）是指在网络等通信线路上途中截获（傍受）传输的数据，并以不正当方式读取其内容的行为。
未加密的通信一旦被截获，内容就可能被原样读取。如果事先对通信进行加密，即使被截获，内容也难以被读出。
类比就像在传声筒的线上再接一根线，偷偷听两个人的对话。
记法“聴”字带耳字旁。想象从旁边偷听对话的样子来记。
考点
| 比较点 | 偷窥 | 窃听 |
|---|---|---|
| 关键获取信息的手段 | 靠人眼直接看 | 截获通信线路上传输的数据 |
| 针对的对象 | 屏幕、文件、手上的输入 | 网络上的通信 |
| 攻击类型 | 社会工程学的一种 | 不属于社会工程学 |
| 主要防范 | 防窥膜、锁屏 | 通信加密 |
冒充（なりすまし）是指假装成他人或正规组织，以对方的身份行事，从而获取信息或进行不正当操作。
除了用盗来的 ID 和口令登录外，还有通过电话或邮件伪造身份来欺骗对方的做法。基本对策是确认对方是否真是本人的身份认证。
类比就像戴上别人的名牌混进会议，以那个人的身份发言。
记法日语“成り済ます”意为完完全全地变成那个人。
考点
BEC（商业邮件诈骗）是用冒充经营者或客户的邮件欺骗经办人，让其把钱汇入攻击者所准备账户的诈骗。
不加确认就汇款，钱就落入攻击者手中。
它是英语 Business Email Compromise 的缩写，日语称为商业邮件诈骗。例如，会用告知收款账户已变更、或以紧急付款为由催促等手法，不给对方确认的余地。
类比就像模仿社长笔迹写一张假字条，让管金库的人把钱拿出来。
记法C 是 Compromise（侵害）。指商业往来邮件被攻击者利用的诈骗。
考点
商业邮件诈骗（ビジネスメール詐欺）是 BEC 在日语中的叫法，指的是同一种诈骗。
要防止受害，在收到变更收款账户等请求时，应通过邮件中没有写的联系方式（如以前就知道的电话号码）向委托方确认。在公司内部设立由多人审批汇款的机制，也是一种防范。
记法利用商业（交易）邮件的诈骗——名字本身就说明了手法。
考点
内部违规（内部不正）是指员工等组织内部人员滥用被授予的权限，故意带走信息或篡改数据等行为。
由于是用正规权限进行操作，比来自外部的攻击更难被发现。对策包括把权限限制在业务所需的范围内，以及保留操作记录（日志）并加以检查。及时停用离职人员的账户，也是防止信息被带走的办法。
类比就像受托保管金库钥匙的店员，自己把里面的东西拿走。
误操作（誤操作）是指没有恶意的人操作失误，导致信息泄露或数据丢失。
信息安全威胁例如可以分为人为、物理和技术等类别，误操作属于由人引起的人为威胁。它表现为弄错邮件收件人、误删必要数据等形式，可以靠发送前确认、双重检查和备份来防范。
类比就像把匆忙写好的信，送到了名字相似的另一户人家。
考点
| 比较点 | 内部违规 | 误操作 |
|---|---|---|
| 关键意图 | 故意实施 | 没有恶意，因疏忽发生 |
| 实施者 | 拥有权限的内部人员 | 任何进行操作的人 |
| 例子 | 带走信息、篡改数据 | 弄错收件人、误删 |
| 主要防范 | 限缩权限、检查日志 | 确认流程、双重检查、备份 |
从本单元的过去问中选 5 题
开始做确认题