情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度秋期 午前 問25: 緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は，どれに分類されるか。

問題本文

緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は，どれに分類されるか。

選択肢

• ア.ソーシャルエンジニアリング
• イ.トロイの木馬
• ウ.踏み台攻撃
• エ.ブルートフォース攻撃

正解

ア. ソーシャルエンジニアリング

解説

ソーシャルエンジニアリングとは，技術的手段ではなく人間の心理や行動の隙を突いて機密情報を入手する手口の総称である。緊急事態を装って人を慌てさせ，パスワードなどを聞き出す行為はこれに該当するため，正解はアである。

選択肢ごとの解説

• ア.緊急事態を装って人から情報を聞き出すのは人間の心理を突く手口であり，ソーシャルエンジニアリングに分類されるため正しい。
• イ.トロイの木馬は正規ソフトを装って侵入する不正プログラムであり，人を欺いて聞き出す行為ではないため誤り。
• ウ.踏み台攻撃は乗っ取った第三者のコンピュータを経由して攻撃する手口であり，人から情報を聞き出す行為ではないため誤り。
• エ.ブルートフォース攻撃はパスワードを総当たりで試す技術的手口であり，人を欺く行為ではないため誤り。