情報セキュリティマネジメント 2017年 春期 午前（科目A） 問21

ソーシャルエンジニアリング【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「人のだまし・偽装」が関係しているかを探す。
   • 人を装う、声でだます、偽の文脈を作る、尾行して入室するなど。
2. 攻撃に使われる手段が「人を操作する行為」か「技術的ツール（マルウェア・自動プログラム）」かを区別する。
   • 人の行動を直接誘導する→ソーシャルエンジニアリング。
   • ソフトウェアで自動的に奪う→技術的攻撃（マルウェア、辞書攻撃、ブルートフォース等）。
3. 選択肢を一つずつ当てはめる。人の信用や偽装が鍵の選択肢を正答とする。

選択肢別の誤答解説

• ア: 正解。清掃員を装って廃棄物から情報を得る行為は、偽装（なりすまし）と人の心理を利用した情報収集で、ソーシャルエンジニアリングに該当します（ダンプスターダイビング）。
• イ: 誤り。キー入力を記録するソフトウェアは「キーロガー（キー入力を記録する不正プログラム）」による攻撃で、マルウェアを使った技術的手法です。人をだます行為が中心ではありません。
• ウ: 誤り。辞書を使ってパスワードを試す行為は「辞書攻撃（dictionary attack：既知の単語を順に試す総当たりの一種）」で、技術的な暗号解析・総当たり攻撃に分類されます。
• エ: 誤り。利用者IDとパスワードの対応リストを使って自動でログインを試すのは「クレデンシャルスタッフィング（credential stuffing：漏洩情報を流用する攻撃）」や「ブルートフォース（総当たり）攻撃」で、プログラムによる自動化された技術的攻撃です。

よくある誤解

1. 「ソーシャルエンジニアリング＝メールのフィッシングだけ」と考える誤り。フィッシングは一例で、対面でのなりすまし、電話詐称（vishing）、廃棄物回収など多様です。
2. 「技術的手法と混同する」こと。例えばUSBを置いて誘導する手口は、道具（USB）を使うが、そこに人を誘導する仕掛け（『これを差し込んで開いて』など）があればソーシャルエンジニアリングの要素が強い、と切り分けが必要です。

補足コラム

• 廃棄文書はシュレッダーで裁断する（細断処理）。
• 「来訪者管理」や入退室記録の徹底。清掃員など業者は事前登録・身分確認を行う。
• 社員教育で「不用意にIDやパスワードを教えない」「見知らぬ人の指示に従わない」を徹底する（具体的な例を示すと効果的）。
• 機密情報は必要最低限のみ紙で扱い、電子データもアクセス制限・二要素認証を導入する。

FAQ