ITパスポート 2022年 問91

ソーーシャルエンジニアリングに該当する行為の例はどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワード「ソーシャルエンジニアリング」の意味を確認する（人をだます手法）。
2. 各選択肢が「人をだます行為」か「技術的（プログラム・ネットワーク）攻撃」かを判断する。
3. 人をだます行為に該当するものを選ぶ。該当するのは イ です。

選択肢別の誤答解説

• ア: 「あらゆる文字の組合せを総当たりで機械的に入力する」
  • これはブルートフォース攻撃（brute-force attack：総当たりでパスワードを試す攻撃）で、プログラムや自動化ツールを使う技術的な攻撃です。人をだます手法ではないためソーシャルエンジニアリングではありません。対策は複雑なパスワードや試行回数制限、ロックアウト、CAPTCHAなどです。
• ウ: 「標的のサーバに大量のリクエストを送りつけて過負荷にする」
  • これはDoS攻撃（Denial of Service：サービス拒否攻撃）やDDoS（Distributed Denial of Service：分散型サービス拒否攻撃）に該当します。ネットワークやサーバを技術的に攻撃するもので、人を騙す行為とは異なります。
• エ: 「バッファをあふれさせ、不正にプログラムを実行させる」
  • これはバッファオーバーフロー（buffer overflow：メモリ領域に過剰なデータを書き込みプログラムを誤動作させる脆弱性の利用）による攻撃です。これもソフトウェアの脆弱性を技術的に突く攻撃で、人の心理を利用する行為ではありません。

よくある誤解

1. 「パスワードを盗む＝すべてソーシャルエンジニアリング」は誤りです。パスワードを盗む手法には、人をだます方法（例：フィッシング、肩越し盗み見）と、機械的に試す方法（ブルートフォース）があります。後者は技術的攻撃です。
2. 「ソーシャルエンジニアリング＝メールのフィッシングだけ」と考えるのも狭い見方です。電話、対面、SNS、物理的なのぞき見など、人を介したあらゆる手段が含まれます。

補足コラム

• 画面の覗き見対策：画面フィルタや座席配置で肩越し盗み見を防ぐ。駅やカフェで作業するときは角度に注意する。
• パスワード管理：長く複雑なパスワードを使い、同じパスワードを使い回さない。パスワード管理ツール（password manager：複数のパスワードを安全に保存・入力するソフト）を使うと便利です。
• 多要素認証（MFA：Multi-Factor Authentication、複数の要素で本人確認する方法）を有効にする。パスワードだけでなく、スマホのワンタイムコードや指紋などを組み合わせると不正利用のリスクが大きく下がります。
• 教育・訓練：怪しいメールや電話の見分け方、個人情報を不用意に伝えない習慣を職場で共有することが重要です。

FAQ