ITパスポート 2016年 春期 問86

情報セキュリティにおけるソーシャルエンジニアリングの例として、適切なものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 「ソーシャルエンジニアリング」の意味を確認する：人をだますことで情報や行動を引き出す攻撃かどうか。
2. 各選択肢について「技術的な攻撃（ネットワークやソフトの脆弱性を突く）」か「人をだます攻撃」かを判定する。
3. 「人をだます攻撃」に該当するものを選ぶ。
   • 人をだます → ソーシャルエンジニアリング（正解）
   • 技術的手法 → 別分類（誤答）

選択肢別の誤答解説

• ア: 社員を装った電話で社内の機密情報を聞き出す。→ 正解。人の信頼を利用して情報を得る典型的なソーシャルエンジニアリング。
• イ: 送信元IPアドレスを偽装したパケットを送り、アクセス制限をすり抜ける。
  • 説明：これは IP スプーフィング（IP spoofing）という技術的な攻撃です。IPアドレス（コンピュータの住所のような識別子）を偽ってネットワーク上の仕組みをだますもので、人の心理を利用する手法ではありません。したがってソーシャルエンジニアリングではありません。
• ウ: ネットワーク上のパケットを盗聴し、パスワードなどを不正に入手する。
  • 説明：パケット（ネットワークで送受信されるデータの塊）を盗聴（スニッフィング）する行為は技術的な傍受・解析攻撃で、人を直接だます手法ではありません。よってソーシャルエンジニアリングではありません。
• エ: 利用者が実行すると、不正な動作をするソフトウェアをダウンロードする。
  • 説明：これはマルウェア（malware：悪意あるソフトウェア）配布に関する記述です。ユーザが実行してしまう点で「ユーザの行動」が関わりますが、選択肢の文だけでは「利用者をだます方法（例：偽メールでクリックを促す）」が含まれるか不明です。単に不正ソフトを配布するというのは技術的／プログラム的な攻撃に分類され、ソーシャルエンジニアリングとは区別されます。

よくある誤解

• 誤解1：ソーシャルエンジニアリング＝フィッシングだけ
  • 解説：フィッシング（phishing：偽メールなどで個人情報を騙し取る行為）は代表例ですが、電話（ビッシング）、直接面談でのなりすまし、物を置いて注意を引くベイティング（baiting）など、手口は多様です。
• 誤解2：マルウェアの配布は必ずソーシャルエンジニアリングだ
  • 解説：マルウェアは技術的攻撃の一種です。ユーザを騙してマルウェアを実行させる場合はソーシャルエンジニアリング要素が加わりますが、脆弱性を突いて自動的に侵入する場合は純粋な技術攻撃です。
• 誤解3：技術的手法と人をだます手法は完全に別物で同時には起きない
  • 解説：実際の攻撃では組合せが多く、例えば「巧妙なメール（ソーシャルエンジニアリング）でマルウェアを実行させ、ネットワーク攻撃に使う（技術）」という流れがよくあります。

補足コラム

• 主なソーシャルエンジニアリングの手口（例）
  • フィッシング（phishing）：偽のメールやサイトでID・パスワードを入力させる。
  • ビッシング（vishing：voice phishing）：電話でだまして情報を聞き出す。今回のアはこれに該当します。
  • プレテキスティング（pretexting）：偽の理由（前提）を作って情報を引き出す。
  • ベイティング（baiting）：餌（USBなど）を置いて興味を引かせる手口。
  • テールゲーティング（tailgating）：許可無くドアに続いて入る物理的侵入。
• 防御のポイント（実務で役立つ対策）
  • 電話やメールで重要情報を聞かれたら、公式ルートで本人確認（折返し電話や社内確認）をする。
  • 社員教育（セキュリティ意識向上）を定期的に行う。
  • 多要素認証（MFA：Multi-Factor Authentication）を導入し、たとえ資格情報が漏れても被害を抑える。MFAは「二つ以上の認証要素」を組み合わせる仕組みです（例：パスワード＋スマホのワンタイムコード）。

FAQ