情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問24

スクリプトキディ【情報セキュリティマネジメント解説】

正解の理由

• スクリプト（script）：繰り返し作業を自動化する短いプログラムのこと。例：JavaScript、Pythonなど。
• 不正アクセス：権限がないのにシステムやデータに侵入する行為。

解法ステップ

1. 選択肢のキーワードを探す：「公開された方法」「技術不足」「スクリプト言語」「盗み見」「なりすまし」など。
2. 「公開された方法に従う」「技術不足」という表現があれば、スクリプトキディの典型的特徴と一致するか判断。
3. 他の選択肢（物理的盗み見、電話なりすまし、迷惑メール送信）はそれぞれ別の攻撃手法（肩越し盗み見、ソーシャルエンジニアリング、スパム）に該当するため除外。

選択肢別の誤答解説

• ア: PCの利用者がWebサイトにアクセスし、利用者IDとパスワードを入力するとところを後ろから盗み見して、メモをとる。
  → これは「肩越し覗き（ショルダサーフィング）」で、物理的な盗み見行為です。スクリプトやツールを使うという点と異なります。
• イ: 技術不足なので新しい攻撃手法を考え出すことはできないが、公開された方法に従って不正アクセスを行う。
  → これがスクリプトキディの定義に合致します。攻撃の原理理解や自作ツールはなく、既成の攻撃コードを利用します。
• ウ: 顧客になりすまして電話でシステム管理者にパスワードの再発行を依頼し、新しいパスワードを聞き出すための台本を作成する。
  → これは「ソーシャルエンジニアリング（人の心理や信頼を利用して情報を引き出す手口）」に当たります。スクリプトキディの典型例ではありません。
• エ: スクリプト言語を利用してプログラムを作成し、広告や勧誘などの迷惑メールを不特定多数に送信する。
  → スクリプト言語（短い自動化プログラム）を使う点は共通しますが、迷惑メール送信はスパム行為であり、必ずしも「既成の攻撃ツールをそのまま使う」スクリプトキディの特徴とは一致しません。スクリプトを自分で書ける人も含まれるため区別が必要です。

よくある誤解

• 「スクリプトキディ＝ただの初心者」ではない：技術力の差はあるものの、既存のツールを使って大きな被害を与えることがあるため侮れません。
• 「スクリプトだけを使う攻撃＝ harmless」ではない：既成ツールでもシステムを侵害したり、サービスを停止させるなど重大な被害を招きます。
• 「スクリプトの利用＝必ずスクリプトキディ」ではない：攻撃ツールを自分で作れる熟練者もスクリプトを使います。重要なのは「自作か既成の使い回しか」という点です。

補足コラム

• ソフトウェアやOSは定期的に更新（パッチ適用）する。スクリプトキディは既知の脆弱性を狙うことが多いです。
• 多要素認証（MFA: Multi-Factor Authentication：複数の確認手段を組み合わせた認証）を導入し、パスワードだけでの侵入を防ぐ。
• アカウントのロック・ログ監視を設定する。短時間の複数ログイン試行は自動攻撃の兆候です。
• 社員教育：不審なメールやURLをクリックしない、パスワードを共有しないなど基本行動を徹底する。
  職場でのイメージ：管理者が「自動で攻撃試行が来ているログ」を見つけて対処し、被害が出る前に脆弱性を塞ぐ、といった流れが典型的です。

FAQ