平成22年度 秋期 午前 問39

✓ これが正解イシステム管理者などを装い，利用者に問い合わせてパスワードを取得する。

解説

機械ではなく人の心理につけ込む手口です。

ソーシャルエンジニアリングは、装置や仕組みの欠陥ではなく、人の心理や行動の隙につけ込んで情報を引き出す手口の総称です。判定の軸は、破られているのが機械なのか人なのかという一点になります。正解は、システム管理者などを装って利用者に問い合わせ、パスワードを聞き出すという記述です。だまされているのは機械ではなく人で、立場のある相手からの求めには応じてしまうという心の動きが突かれています。ほかにも、肩越しに画面や手元をのぞく、捨てられた書類をあさる、関係者のふりをして建物に入り込むといった形があります。技術で防ぎにくい攻撃なので、対策も技術の外側に置かれます。電話でパスワードを尋ねない、尋ねられても答えない、と運用の決まりにしておくこと、書類を裁断すること、入退室で本人を確かめることが効いてきます。四つの記述を、人をだますものと機械を破るものに仕分けると、一つだけ性質の違うものが浮かび上がります。

ほかの選択肢はなぜ違うのか

• アウイルス感染で自動作成されたバックドアか…：ウイルスが仕込んだ裏口をたどって入り込む手口で、破っているのは機械の側です。人をだます場面がどこにも出てこないため、この分類には入りません。
• ウ総当たり攻撃ツールを用いてパスワードを解…：道具を使ってパスワードを総当たりで試す手口です。人手ではなくコンピュータの力に頼っているので、心理につけ込む側ではなく、技術で破る側に並びます。
• エバッファオーバフローなどのソフトウェアの…：ソフトウェアの弱点を突いて入り込む手口です。相手にしているのは作りの欠陥であって人の判断ではないので、同じ侵入でも性質がはっきり分かれます。