基本情報技術者 2014年 秋期 午前（科目A） 問36

ソーシャルエンジニアリングに分類される手口はどれか。【午前2 解説】

要点まとめ

• 結論→ソーシャルエンジニアリングは人の信頼や心理を悪用する手口であり、選択肢の中ではイが該当します。
• 根拠→「システム管理者を装い利用者から直接パスワードを聞き出す」は人間を騙す典型的手法で、技術的脆弱性の利用とは性質が異なります。
• 差がつくポイント→マルウェアやバッファオーバーフローは技術的攻撃、総当たりは自動化攻撃で、人を騙す行為かどうかで見分けてください。

正解の理由

よくある誤解

• 「ウイルスやバックドアもソーシャルエンジニアリングだ」と混同する人がいますが、これらは主に技術的攻撃であり、説明文が自動生成や脆弱性の悪用を示す場合は技術攻撃です。
• 「フィッシング＝技術攻撃」と捉える誤りがありますが、フィッシング自体はソーシャルエンジニアリングの典型例で、人を騙す点が本質です。
• 「総当たり（ブルートフォース）も人を騙す行為だ」と誤認しがちですが、総当たりは計算リソースを用いる自動攻撃であり人的詐術ではありません。

解法ステップ

1. 問題文のキーワードを確認：「ソーシャルエンジニアリング」＝人を騙す・心理的操作。
2. 各選択肢を「人的操作か技術的攻撃か」で分類する。
3. 人的操作（他人を騙して情報を得る）の記述がある選択肢を選ぶ。
4. 該当するのがイであることを確かめて回答する。

選択肢別の誤答解説

• ア: ウイルス感染で自動作成されたバックドアから侵入する→マルウェアによる自動化された技術的侵入であり、人的欺瞞を直接示していないためソーシャルエンジニアリングではありません。
• イ: システム管理者などを装い、利用者に問い合わせてパスワードを取得する→人の信頼を利用する典型的なソーシャルエンジニアリングの手口なので正解です。
• ウ: 総当たり攻撃ツールを用いてパスワードを解析する→計算的・自動的手法（ブルートフォース）であり、人的操作に依存しないため該当しません。
• エ: バッファオーバーフローなどの脆弱性を利用して侵入する→ソフトウェアの欠陥を突く技術的攻撃で、ソーシャルエンジニアリングの定義とは異なります。

補足コラム

FAQ