情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問25

ソーシャルエンジニアリング【情報セキュリティマネジメント解説】

正解の理由

• パスワードや個人情報、営業機密などの不正取得
• なりすましによる不正アクセスや金銭被害

解法ステップ

1. 問題文で「緊急事態を装って」「組織内部の人間から」「パスワードや機密情報を入手する」とある点を確認する。
2. 「緊急だ」「今すぐ教えて」など相手の心理を操作して情報を引き出す場面は、人を騙す手法＝ソーシャルエンジニアリングであると結びつける。
3. 他の選択肢がソフトウェアやネットワークを使う技術的攻撃であることを確認して除外する。
4. よってアを選ぶ。

選択肢別の誤答解説

• ア（ソーシャルエンジニアリング）
  人の心理や信頼関係を利用して情報を聞き出す手法。電話・メール・直接訪問などで行う。今回の事例に該当する。
• イ（トロイの木馬）
  トロイの木馬（Trojan horse：外見は無害でも裏で不正動作するプログラム）は、相手の端末にマルウェアを仕込む攻撃。人を直接だまして口頭でパスワードを聞き出す行為とは異なる。
• ウ（踏み台攻撃）
  踏み台攻撃は、既に侵入・感染した第三者の端末を経由して他のシステムに不正侵入する攻撃手法。人から直接情報を聞く行為ではない。
• エ（ブルートフォース攻撃）
  ブルートフォース攻撃（brute-force attack：総当たり攻撃）は、片っ端から大量のパスワードを試して当てる手法。人の心理を突いて聞き出すソーシャルな手法とは別物。

よくある誤解

1. 「電話で情報を聞くのは技術的攻撃ではないから安全」と考える誤り
   実際は電話やチャットでの聞き出しもソーシャルエンジニアリングです。技術的な痕跡が残らないため発見が遅れやすいです。
2. 「メールのリンクだけがソーシャルエンジニアリングだ」との狭い理解
   フィッシング（偽装メール）も一種ですが、対面や電話での欺きも含みます。手口は多様です。

補足コラム

FAQ