ITパスポート試験 ITパスポート 2023年 (令和5年) 問89: 企業の従業員になりすましてIDやパスワードを聞き出したり,くずかごから機密情報を入手したりするなど,技術的手法を用いない攻撃はどれか。

正解

イ. ソーシャルエンジニアリング

正答率 79.5%（2,028人中 1,613人が正解）

問題の解説

ソーシャルエンジニアリングは、技術的な手段ではなく、人の心理や行動の隙を突いて情報を入手する手口の総称である。従業員になりすまして電話でIDやパスワードを聞き出す、くずかごに捨てられた書類を拾うなどが例である。ゼロデイ攻撃は修正パッチが提供される前の脆弱性を突く攻撃、トロイの木馬は有用なソフトに見せかけたマルウェアである。

選択肢ごとの解説

• アゼロデイ攻撃は、脆弱性の修正プログラムが提供される前に、その脆弱性を突いて行う攻撃であり、技術的な手法を使う。
• イ正しい。従業員へのなりすましによる聞き出しや、ごみ箱からの機密情報の入手は、人の行動の隙を突く、技術を使わない攻撃である。
• ウソーシャルメディアは、SNSなど利用者どうしが交流や情報発信を行うためのメディアであり、攻撃手法ではない。
• エトロイの木馬は、有用なソフトウェアに見せかけて侵入し、不正な動作をするマルウェアであり、技術的な手法を使う。