なりすましやごみ箱あさりは何という攻撃？似た用語を区別しよう
ITパスポート試験 令和5年度 問89 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
企業の従業員になりすましてIDやパスワードを聞き出したり，くずかごから機密情報を入手したりするなど，技術的手法を用いない攻撃はどれか。
- ア
ゼロデイ攻撃
- イ
ソーシャルエンジニアリング
- ウ
ソーシャルメディア
- エ
トロイの木馬
会話形式の解説
講師今回は攻撃手法の名前を問う問題です。注目してほしいのは「技術的手法を用いない」という条件です。なりすましで聞き出すことも、くずかごから書類を探すことも、コンピュータではなく人の油断や管理の甘さを突いています。
受験者「ソーシャル」が付く選択肢が二つあって迷いました。人を相手にする攻撃なので、どちらかだとは思うのですが。
講師そこがこの問題の見どころです。ソーシャルエンジニアリングは、人の信頼や不注意につけ込んで秘密の情報を不正に手に入れる手法です。技術的な攻撃がなくても成り立ちます。
受験者では、ソーシャルメディアは攻撃の名前ではないのですか。
講師はい。ソーシャルメディアは、SNSやブログのように利用者が情報を発信したり交流したりする媒体のことです。攻撃手法ではなく一般的な用語なので、「ソーシャル」という言葉が同じだけで別物です。
受験者ゼロデイ攻撃とトロイの木馬は、どちらもコンピュータを使う攻撃という理解でよいですか。
講師そうです。ゼロデイ攻撃は、修正プログラムが提供される前の脆弱性、つまりソフトウェアの弱点を狙う攻撃です。トロイの木馬は、無害なものや役に立つものに見せかけたマルウェア（悪意のあるプログラム）で、情報を外部に漏らしたり遠隔操作を可能にしたりすることがあります。どちらも技術的な攻撃なので、条件に合いません。
受験者選択肢を「技術的な攻撃」「攻撃ではない用語」「人を狙う攻撃」に分ければ、条件に合うのはソーシャルエンジニアリングだけになるのですね。
講師その整理で正解です。補足すると、ごみ箱から情報を探す手口はトラッシングといい、ダンプスターダイビングと呼ばれることもあります。画面や入力操作を盗み見ることも、ソーシャルエンジニアリングの手口に含まれます。
受験者対策も技術より人の行動が中心になりそうです。
講師はい。相手の本人確認を行うことや、機密書類をシュレッダーにかけるなど適切に廃棄することが対策になります。問題文に「技術的手法を用いない」とあれば、ソーシャルエンジニアリングを思い浮かべると解きやすくなります。
まとめ
この問題は、なりすましでIDやパスワードを聞き出したり、くずかごから機密情報を探したりする、技術を使わない攻撃の名前を問うものです。正解はソーシャルエンジニアリングで、人の信頼や不注意につけ込んで情報を手に入れる手法です。ソーシャルメディアはSNSなどの媒体を指す一般用語で、攻撃手法ではありません。ゼロデイ攻撃は修正前の脆弱性を突く攻撃、トロイの木馬は無害を装うマルウェアで、どちらも技術的な攻撃です。対策としては、相手の本人確認と機密書類の適切な廃棄が挙げられます。
解答・解説
正解はイです
この問題のテーマ
技術を使わずに人の心理や油断につけ込んで情報を盗む攻撃の名前を問う問題です。セキュリティ用語のうち、名前が似ているものを区別できるかも問われています。
解き方の考え方
問題文の「技術的手法を用いない」という条件に注目します。従業員を装ってパスワードを聞き出すことも、くずかごから書類を探すことも、コンピュータの弱点ではなく人の油断や管理の甘さを突く手口です。そこで、選択肢をまず「ソフトウェアやプログラムを使う技術的な攻撃」「攻撃手法ではない一般用語」「人を狙う攻撃」に分けます。条件に合うのは、人を狙う攻撃だけです。
選択肢ごとの解説
- ×ア ゼロデイ攻撃ゼロデイ攻撃は、修正プログラムが提供される前の脆弱性を狙う攻撃です。ソフトウェアの弱点を突く技術的な攻撃なので、「技術的手法を用いない」という条件に合いません。
- ○イ ソーシャルエンジニアリングソーシャルエンジニアリングは、人の信頼や不注意につけ込んで秘密の情報を不正に手に入れる手法で、技術的な攻撃がなくても成り立ちます。関係者を装って認証情報を聞き出すことや、捨てられたものから機密情報を集めることは、どちらも代表的な手口です。画面や入力操作を盗み見ることもこれに含まれます。
- ×ウ ソーシャルメディアソーシャルメディアは、SNSやブログのように利用者が情報を発信したり交流したりする媒体のことです。攻撃手法の名前ではありません。「ソーシャル」という言葉が共通しているだけなので、混同しないようにしましょう。
- ×エ トロイの木馬トロイの木馬は、無害なものや役に立つものに見せかけたマルウェアです。プログラムが不正な処理を行い、秘密情報を外部に漏らしたり、遠隔操作を可能にしたりすることがあります。プログラムを使う技術的な攻撃なので、条件に合いません。
補足
ごみ箱から情報を探す手口は、トラッシングのほかに「ダンプスターダイビング」と呼ばれることもあります。「ソーシャルエンジニアリング」と「ソーシャルメディア」は名前が似ているため、引っかけの選択肢としてよく並べられます。問題文に「技術的手法を用いない」「人間の心理」といった言葉があれば、ソーシャルエンジニアリングを思い浮かべると解きやすくなります。
POINT
- ソーシャルエンジニアリングは、技術ではなく人の心理的な隙や不注意を狙って情報を盗む手法です。
- 代表的な手口として、なりすましによる聞き出し、ごみ箱をあさる行為（トラッシング）、盗み見（ショルダーハッキング）があります。
- ゼロデイ攻撃は修正プログラムが提供される前の脆弱性を突く技術的な攻撃で、トロイの木馬は無害を装うマルウェアです。
- 対策には、電話などで相手の本人確認を行うことと、機密書類を適切に廃棄すること（シュレッダーにかけるなど）があります。