基本情報技術者 2014年 春期 午前（科目A） 問41
問題文
緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は、どれに分類されるか。
選択肢
ア：ソーシャルエンジニアリング（正解）
イ：トロイの木馬
ウ：パスワードクラック
エ：踏み台攻撃
🔒 解説は解答すると表示されます
ソーシャルエンジニアリング【午前解説】
正解の理由
緊急事態を装う、あるいは権威・信頼関係を偽装して相手を騙し、口頭やメール等でパスワードや機密情報を引き出す行為は「人の心理や信頼を利用する」攻撃です。
この手法は典型的なソーシャルエンジニアリング（例：プレテキシング、電話でのなりすまし＝音声フィッシング、偽の緊急連絡による情報引き出し）に該当します。したがって選択肢の中ではソーシャルエンジニアリングが正解です。
この手法は典型的なソーシャルエンジニアリング（例：プレテキシング、電話でのなりすまし＝音声フィッシング、偽の緊急連絡による情報引き出し）に該当します。したがって選択肢の中ではソーシャルエンジニアリングが正解です。
解法ステップ
- 問題文のキーワードを拾う：「緊急事態を装って」「組織内部の人間から」「パスワードや機密情報を入手」など。
- キーワードの意味を分類する：「装う」「人から入手」→人的・心理的操作の示唆。
- 各選択肢の定義を照合する：ソーシャルエンジニアリング＝人を騙す手法、他は技術的手段や経路利用。
- 最も適合する選択肢を選ぶ：人的欺瞞が主眼ならソーシャルエンジニアリングを選択。
選択肢別の誤答解説
- ア: ソーシャルエンジニアリング — 正解。人の心理や信頼を悪用して情報を引き出す手法（プレテキシング、フィッシング等）。
- イ: トロイの木馬 — 誤り。システム内に潜伏するマルウェアで、ユーザを騙して実行させる場合もあるが本質はソフトウェア的侵害。
- ウ: パスワードクラック — 誤り。暗号解析や総当たり攻撃など技術的手法でパスワードを解読する行為で、人を騙す行為とは異なる。
- エ: 踏み台攻撃 — 誤り。第三者の機器を経由して攻撃を行う手法で、情報を直接聞き出す「騙す」行為とは別カテゴリ。
よくある誤解
- マルウェアと混同する誤り：人を騙す手法は必ずしもマルウェアを伴わず、目に見えるソフトウェア攻撃とは異なります。
- パスワードクラックと取り違える誤り：パスワードクラックはハッシュ解析やブルートフォースなど計算的手法であり、人から聞き出す行為ではありません。
- 踏み台攻撃と混同する誤り：踏み台攻撃は他者の機器を経由して攻撃を行う手法で、社会的な詐術とは目的と手段が違います。
補足コラム
ソーシャルエンジニアリングは技術的防御だけでは完全に防げない点が厄介です。代表的な手口にはプレテキシング（偽の状況設定）、フィッシング（偽メール）、ビッシング（電話での詐術）、テールゲーティング（物理的に侵入するための追随）などがあります。対策としては従業員教育、本人確認ルールの徹底、多要素認証（MFA）の導入、最低権限の適用、疑わしい要求の受け流し・上長確認の運用が有効です。
FAQ
Q: フィッシングとソーシャルエンジニアリングは同じですか？
A: フィッシングはソーシャルエンジニアリングの一種で、特にメール等を使って情報を騙し取る手法を指します。
A: フィッシングはソーシャルエンジニアリングの一種で、特にメール等を使って情報を騙し取る手法を指します。
Q: 電話での詐称（vishing）はどのカテゴリですか？
A: ソーシャルエンジニアリングに含まれます。音声を使って信頼を得て情報を引き出す手口です。
A: ソーシャルエンジニアリングに含まれます。音声を使って信頼を得て情報を引き出す手口です。
Q: ソーシャルエンジニアリングは技術で防げますか？
A: 部分的には可能ですが、人的対策（教育・ルール）が最も重要です。MFAや問い合わせルールの運用が有効です。
A: 部分的には可能ですが、人的対策（教育・ルール）が最も重要です。MFAや問い合わせルールの運用が有効です。
Q: 緊急を装う要求を受けたらどうすべきですか？
A: 公式の連絡先へ自ら確認し、口頭での認証だけで機密情報を渡さない運用を徹底してください。
A: 公式の連絡先へ自ら確認し、口頭での認証だけで機密情報を渡さない運用を徹底してください。
関連キーワード: ソーシャルエンジニアリング、プレテキシング、フィッシング、音声フィッシング（Vishing）、多要素認証、人的脆弱性、踏み台攻撃、マルウェア、パスワードクラック
\ せっかくなら /
基本情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！