ITパスポート 2017年 秋期 問65

人の心理的な隙や不注意に付け込んで機密情報などを不正に入手する手法はどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードに注目：「人の心理的な隙や不注意に付け込んで」「機密情報を不正に入手」
   → 「人」を狙う手法を問うていると判断します。
2. 各選択肢の意味を確認する（初見でも一言でイメージできるように）：
   • ア: DoS攻撃 — サービスを使えなくする技術的な攻撃（サービス妨害）
   • イ: SQLインジェクション — データベースに不正な命令を入れて情報を奪う技術的攻撃
   • ウ: ソーシャルエンジニアリング — 人の心理を利用して情報を奪う手法（詐欺的な人間操作）
   • エ: バッファオーバフロー — プログラムの記憶領域のあふれを突く技術的脆弱性攻撃
3. 「人を狙う＝ソーシャルエンジニアリング」と結びつくため、ウが正しいと判断する。

選択肢別の誤答解説

• ア: DoS攻撃（Denial of Service：サービス妨害）
  サーバ（サービスを提供するコンピュータ）などに大量のデータを送り、正しい利用者がサービスを使えなくする攻撃です。人的心理を騙すわけではなく、技術的にサービスを停止させる点で設問と合いません。
• イ: SQLインジェクション（SQL: Structured Query Language：データベース操作言語）
  ウェブサイトの入力欄などに悪意あるSQL文を入れて、データベースから情報を不正取得する攻撃です。これは入力処理の脆弱性を突く技術的手法で、人的な心理操作ではありません。
• ウ: ソーシャルエンジニアリング
  人を騙したり信頼関係を悪用したりして情報を得る手法です。問題文の「心理的な隙や不注意に付け込む」という表現にぴったり一致します。
• エ: バッファオーバフロー（バッファ: 一時的な記憶領域）
  プログラムが用意した記憶領域を超えるデータを与え、プログラムの動作を変える攻撃です。プログラムの欠陥を突く技術的手口であり、人の心理とは無関係です。

よくある誤解

1. 「フィッシング＝ソーシャルエンジニアリングの別名」だけで済ませて覚える
   → フィッシング（偽サイトや偽メールで情報を盗む）は代表的な手口ですが、ソーシャルエンジニアリングは電話や対面でのだましも含み、より広い概念です。違いを押さえておきましょう。
2. 「技術的対策だけで防げる」と考える
   → ソーシャルエンジニアリングは人の判断ミスを突く攻撃なので、ソフトウェアだけで完全に防ぐことはできません。社員教育や確認ルールの整備が重要です。

補足コラム

• 例1: フィッシングメール
  銀行を名乗る偽メールで「至急ログインしてください」と促し偽サイトに誘導する。対策：メールの送信元やURLをよく確認し、公式アプリや公式サイトから直接アクセスする習慣をつける。
• 例2: なりすまし電話
  社内の役職者を名乗って「至急、今すぐ振込手続きして」と指示する。対策：口頭の依頼だけで重要な操作をしない、コールバックで本人確認するなどの手順を設ける。
• 例3: 直接の肩越し覗き（ショルダーハッキング）
  公共の場でパスワード入力を覗かれる。対策：画面保護フィルターや周囲に注意を払う。

FAQ