ITパスポート 2010年 春期 問87

パスワードを初期化させて侵入する行為は何か【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：なりすまし、電話、パスワード初期化、管理者をだます、など。
2. それが「人を騙す」行為か「技術的に攻撃する」行為かを判別する。
   • 人を騙す → ソーシャルエンジニアリング
   • 技術的に機器やサービスを攻撃 → DoS、総当たり 等
3. 該当する選択肢を選ぶ：人を標的にして操作することを表す語はソーシャルエンジニアリング。

選択肢別の誤答解説

• ア: DoS攻撃
  DoS攻撃（Denial of Service：サービス不能攻撃）は、対象のサーバやネットワークに大量の通信を送り付けるなどして、正当な利用者がサービスを使えなくする技術的攻撃です。問題のように電話で管理者を騙してパスワードをリセットさせる行為とは異なります。
• イ: 総当たり攻撃
  総当たり攻撃（ブルートフォース攻撃、brute-force attack）は、プログラムで片っ端からパスワード候補を試して正しいものを見つける手法です。これはシステムに大量の試行を行う技術的攻撃であり、電話やなりすましで管理者を説得する行為とは別物です。
• ウ: ソーシャルエンジニアリング
  ソーシャルエンジニアリング（social engineering）は、人間の信頼や心理を利用して、情報や操作を引き出す攻撃手法です。今回の「電話でなりすましてパスワード初期化をしてもらう」は典型的なソーシャルエンジニアリングの例です。よって適合します。
• エ: バックドア
  バックドア（backdoor）は、本来の認証手順を回避して外部からのアクセスを可能にする裏口や仕掛けのことです。マルウェアや不正に埋め込まれたコードなど技術的な仕掛けを指すため、電話で管理者を騙す行為とは性質が異なります。

よくある誤解

1. 「電話での詐欺は技術的攻撃ではないから問題に出ない」
   → 技術を使わなくても侵入や情報漏えいは起きます。ITセキュリティは技術面だけでなく人的対策も重要です。
2. 「フィッシングとソーシャルエンジニアリングは同じ」
   → フィッシング（phishing：主にメールや偽サイトで情報を騙し取る手法）はソーシャルエンジニアリングの一部と考えられますが、今回のように電話でだます行為は「ビッシング（vishing：voice phishing、電話詐欺）」と呼ばれることがあります。つまりチャネルが違うだけで「人を騙す点」が共通です。
3. 「管理者が対応したなら仕方ない」
   → 管理者側も身元確認の手順が必要です。安易なパスワード初期化は組織の脆弱性になります。

補足コラム

• 「ビッシング（vishing）」とは電話を使ったフィッシングのことで、今回の事例はビッシングの一種です。攻撃者は会社の内部事情を装ったり、緊急性を匂わせたりして管理者を急かします。
• 対策の例：
  • パスワードリセット時に本人確認を複数手段で行う（社内メールや本人が登録した別チャネルへの確認コード送信など）。
  • 二要素認証（2要素認証、Two-Factor Authentication：パスワードに加えて別の要素で本人確認する仕組み）を導入する。
  • 社員教育で「個人の情報を電話で安易に教えない」「不審な要求は上長やセキュリティ担当に相談する」習慣を作る。
  • 管理者向けにパスワード初期化の手順書と厳格な本人確認方法を用意する。

• 呼び出し元の番号は登録済みか？
• 会社の内線規則に合っているか？
• 登録済みの社員情報（社員番号、上長の名前など）を求め、照合できるか？
• それでも不確かな場合は、本人確認コードを会社の公式チャネルで送信して確認する。

FAQ