ITパスポート 2023年 問89

技術的手法を用いない攻撃はどれか【ITパスポート 解説】

正解の理由

• ソーシャルエンジニアリング（social engineering）：人をだまして情報を得る手法。技術より「人」を狙う。
• ダンプスターダイビング／くずかご漁り：捨てられた書類やゴミから情報を探す行為（物理的手法）。

解法ステップ

1. 問題文のキーワードを探す：「なりすまし」「聞き出す」「くずかごから入手」→ 人を介した行為であると判断。
2. 選択肢の意味を確認する（初めてでも短く理解する）：
   • ア: ゼロデイ攻撃（zero-day attack：修正パッチが公開される前の脆弱性を突く攻撃）→ 技術的。
   • イ: ソーシャルエンジニアリング → 人を騙す、非技術的。
   • ウ: ソーシャルメディア（social media：SNSなどのサービス）→ 攻撃手法ではなくプラットフォーム。
   • エ: トロイの木馬（Trojan horse：悪意あるプログラム）→ 技術的。
3. 「技術的手法を用いない」を満たすのは人を騙す手口、すなわち イ と結論付ける。

選択肢別の誤答解説

• ア: ゼロデイ攻撃
  技術的な攻撃です。ソフトウェアやOSの未修正の脆弱性を狙って侵入・不正操作を行います。人のだましではなく、「プログラムの弱点」を突く点が設問と異なります。
• イ: ソーシャルエンジニアリング
  正解。電話や直接会話、偽の頼みごとなど、人の油断や信頼を利用して情報を得ます。技術的なハッキングを必須としません（物理的・心理的手法が中心）。
• ウ: ソーシャルメディア
  ソーシャルメディア（social media：人々が交流するウェブサービス）は攻撃の舞台や情報源にはなりますが、それ自体は「攻撃手法」ではありません。設問は「攻撃はどれか」を問うため不適切です。
• エ: トロイの木馬
  トロイの木馬は悪意あるソフトウェア（マルウェア）で、ユーザに気付かれないように動作して不正を働きます。技術的・プログラム的な攻撃なので、非技術的攻撃とは言えません。

よくある誤解

1. 「フィッシング（偽メール）などは技術的攻撃では？」
   フィッシングはメールや偽サイトを使いますが、本質は人を騙すこと（ソーシャルエンジニアリング）です。技術を使う場合もありますが、設問の「技術的手法を用いない」に当てはまるのは人を騙す側面です。
2. 「ソーシャルメディアがあるからウが正解では？」
   ソーシャルメディアは道具や場所です。攻撃かどうかは使い方次第で、設問のように“攻撃そのもの”を問う場合は区別が必要です。
3. 「くずかごから情報を取るのは小さなことだから関係ない？」
   くずかご漁り（物理的な情報取得）は立派な攻撃手法で、ソーシャルエンジニアリングと同列に考えられます。軽視してはいけません。

補足コラム

• なりすまし電話：技術部門や上司を詐称してパスワードや認証コードを聞き出す。
• くずかご漁り（ダンプスターダイビング）：廃棄された書類や媒体に機密情報が残っている。
• 物理侵入：名札や服装を真似てビルに入る。
  防止策としては、社員教育（セキュリティ意識向上）、不要書類のシュレッダー処理、身分確認の徹底、最小権限の運用などが有効です。

FAQ