緊急事態を装って情報を聞き出す行為は何に分類されるか
情報セキュリティマネジメント試験 2022年 サンプル問題 問8 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は，どれに分類されるか。
- ア
ソーシャルエンジニアリング
- イ
トロイの木馬
- ウ
踏み台攻撃
- エ
ブルートフォース攻撃
会話形式の解説
講師今回は、攻撃手法の分類を問う問題です。注目してほしいのは、この行為が何を狙っているかです。システムの弱点を突いているのか、それとも人を相手にしているのかを考えてみてください。
受験者パスワードを手に入れる話なので、パスワードの候補を総当たりで試すブルートフォース攻撃が少し気になりました。
講師パスワードを狙う点は同じですね。ただ、ブルートフォース攻撃は候補を機械的に次々と試す攻撃です。設問では、緊急事態だと思わせて相手を焦らせ、本人から聞き出していますよね。
受験者たしかに、機械で試しているわけではなく、人をだましています。そうすると、人の心理を突く手口ということになりますか。
講師そのとおりです。技術的な手段を使わず、人の心理的な弱みやミスを突いて秘密情報を得る行為の総称を、ソーシャルエンジニアリングといいます。緊急事態を装ったり、管理者や関係者になりすましたりするのは、その典型例です。
受験者トロイの木馬も、正体を隠してだますイメージがありますが、違うのでしょうか。
講師トロイの木馬は、無害なプログラムに見せかけた不正プログラム、つまりマルウェアです。キー入力を盗んで外部へ送ることもありますが、それはプログラムの働きによるものです。人に直接話しかけて聞き出す行為とは違います。
受験者踏み台攻撃は、乗っ取った機器を別の攻撃の中継点として使うものでしたよね。人から情報を聞き出す話ではないので、これも当てはまらないと思います。
講師はい、それで合っています。踏み台にされた側は、気づかないうちに攻撃に加担させられてしまいます。
受験者整理すると、人をだまして聞き出すのがソーシャルエンジニアリングで、トロイの木馬・踏み台攻撃・ブルートフォース攻撃はプログラムや機器、機械的な試行を使う攻撃ということですね。
講師よく整理できています。補足すると、ソーシャルエンジニアリングには、肩越しに画面やキー入力を盗み見るショルダーハッキングや、捨てられた書類やごみから情報を探すトラッシングもあります。似た問題では、パスワードを狙うという共通点に引っ張られず、人の心理やミスを突いているかどうかで見分けてください。
まとめ
緊急事態を装って組織内部の人からパスワードや機密情報を聞き出す行為は、ソーシャルエンジニアリングに分類されます。ソーシャルエンジニアリングは、技術的な手段を使わずに、人の心理的な弱みやミスを突いて秘密情報を得る行為の総称です。トロイの木馬は無害なプログラムを装うマルウェアで、踏み台攻撃は乗っ取った機器を中継点として悪用する攻撃です。ブルートフォース攻撃はパスワードの候補を総当たりで試す攻撃です。見分けるときは、システムの弱点を突いているのか、人をだましているのかに注目します。
解答・解説
正解はアです
この問題のテーマ
緊急事態を装って組織内部の人からパスワードや機密情報を聞き出す行為が、どの攻撃手法に分類されるかを問う問題です。
解き方の考え方
まず、この行為で何が攻撃の対象になっているかを確かめます。設問の行為は、システムの技術的な弱点を突くものではありません。「緊急事態」という状況で相手を焦らせ、人をだまして情報を引き出しています。そこで、人の心理やミスを突く手口の総称を選択肢から探せば、答えが決まります。
選択肢ごとの解説
- ○ア ソーシャルエンジニアリングソーシャルエンジニアリングは、技術的な手段を使わず、人の心理的な弱みやミスを突いて秘密情報を得る行為の総称です。緊急事態を装って内部の人から情報を聞き出す行為は、この典型例にあたります。管理者や関係者になりすます手口もここに含まれます。
- ×イ トロイの木馬トロイの木馬は、無害なプログラムに見せかけた不正プログラム（マルウェア）です。キー入力を盗んだり、情報を外部へ送ったりしますが、それはプログラムの働きによるものです。人を直接だまして聞き出す設問の行為とは違います。
- ×ウ 踏み台攻撃踏み台攻撃は、乗っ取った機器を別の攻撃の中継点として悪用する行為です。踏み台にされた側は、気づかないうちに攻撃に加担させられます。人から情報を聞き出す行為ではないため、当てはまりません。
- ×エ ブルートフォース攻撃ブルートフォース攻撃は、パスワードの候補を総当たりで次々に試す攻撃です。パスワードを狙う点は設問と同じですが、手段は機械的な試行であり、人をだます行為ではありません。
補足
ソーシャルエンジニアリングには、電話や会話でだます手口のほかに、肩越しに画面やキー入力を盗み見るショルダーハッキングや、捨てられた書類やごみから情報を探すトラッシングもあります。似た問題では、パスワードを狙うという共通点に引っ張られないことが大切です。見分けるときは、システムの技術的な弱点を突いているのか、人の心理やミスを突いてだましているのかに注目してください。
POINT
- ソーシャルエンジニアリングは、人の心理的な弱みやミスを突いて秘密情報を得る行為の総称です。
- 緊急事態を装う、関係者になりすますといった手口は、ソーシャルエンジニアリングの典型例です。
- トロイの木馬は無害なプログラムを装うマルウェアで、踏み台攻撃は乗っ取った機器を中継点として悪用する攻撃です。
- ブルートフォース攻撃は、パスワードなどの候補を総当たりで試す攻撃です。