平成29年度 春期 午前 問21
サイバー攻撃手法とマルウェア
ソーシャルエンジニアリングの問題
ソーシャルエンジニアリングに該当するものはどれか。
- アオフィスから廃棄された紙ごみを，清掃員を装って収集して，企業や組織に関する重要情報を盗み出す。
- イキー入力を記録するソフトウェアを，不特定多数が利用するPCで動作させて，利用者IDやパスワードを窃取する。
- ウ日本人の名前や日本語の単語が登録された辞書を用意して，プログラムによってパスワードを解読する。
- エ利用者IDとパスワードの対応リストを用いて，プログラムによってWebサイトへのログインを自動的かつ連続的に試みる。
答えと解説を見る
✓ これが正解アオフィスから廃棄された紙ごみを，清掃員を装って収集して，企業や組織に関する重要情報を盗み出す。
解説
人の心理や運用の隙につけ込んで情報を得る行為です。
ソーシャルエンジニアリングは、システムの技術的な弱点ではなく、人の心理や習慣、注意の隙につけ込んで情報を手に入れる行為です。疑われにくい立場を装う、急いでいるように見せるといったやり方で、本来は渡されないはずの情報を引き出したり、入れないはずの場所に入り込んだりします。清掃員を装ってオフィスから廃棄された紙ごみを収集し、そこから企業や組織に関する重要情報を盗み出すという手口は、掃除の人なら中に入っていて当たり前という思い込みと、捨て方の運用の緩さをそのまま利用しています。技術的な仕掛けを一つも使っていない点が、まさにこの分類の特徴です。残りの三つは、いずれもプログラムを使って利用者IDやパスワードを機械的に手に入れようとするものです。
ほかの選択肢はなぜ違うのか
- イキー入力を記録するソフトウェアを，不特定…：キー入力を記録するソフトウェアを不特定多数が使うPCで動かして認証情報を盗み取るのは、キーロガーを仕込む技術的な手口です。装置に仕掛けを施して自動的に集めるものであり、人の思い込みや運用の緩さにつけ込む行為ではありません。
- ウ日本人の名前や日本語の単語が登録された辞…：名前や単語を集めた辞書を用意し、プログラムでパスワードを言い当てていくのは辞書攻撃です。機械が候補を当てはめていくだけで、人の思い込みを利用する場面がどこにもありません。
- エ利用者IDとパスワードの対応リストを用い…：利用者IDとパスワードの対応リストを用いてログインを自動的かつ連続的に試みるのはパスワードリスト攻撃と呼ばれる手口で、どこかで流出した組合せの使い回しを突きます。人を相手にする行為ではありません。
この問題の用語
- ソーシャルエンジニアリング技術ではなく人の心理や習慣につけ込んで情報を聞き出す手口。急いでいるふりや、権威をよそおう形が典型です。
- キーロガーキーボードの入力を記録して、IDやパスワードを盗む仕掛けです。人の心理につけ込む手口とは違い、道具で機械的に盗みます。
- 辞書攻撃辞書に載っている単語や人名など、ありがちな語をパスワードとして試す攻撃。候補を攻撃者が作る点が、流出品を使うパスワードリスト攻撃と違います。
- パスワードリスト攻撃他のサイトから流出した、実在する利用者IDとパスワードの組を使ってログインを試す攻撃。同じ組を使い回している人だけが破られます。
- 廃棄使わなくなった機器や書類を、処分することをいいます。記録が残る装置は、全領域を上書きしてから引き渡します。
- 組織目的を果たすために、人が役割を分けて集まったまとまりのことです。分け方には機能別、事業部制、マトリックスなどの形があります。
- 利用者IDシステムが利用者を見分けるための名前。パスワードと組にして本人確認に使い、記録を誰の操作かに結び付けます。
- パスワード本人だけが知っているという前提で使う合言葉。他人に知られた時点で、本人確認の役目を果たさなくなります。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問21
同じ用語が出る問題
- 令和8年度 科目B 問15：クリアデスクに関する問題（廃棄）
- 令和6年度 科目B 問15：マルウェア対策ソフトの問題（ソーシャルエンジニアリング）
- 科目A・B サンプル問題 科目A 問16（パスワードリスト攻撃）
- 平成29年度 春期 午前 問16：辞書攻撃に関する問題（辞書攻撃）
- 平成28年度 秋期 午前 問27：ランサムウェアに分類されるもの（キーロガー）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）