情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度秋期 午前 問25: 緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は，どれに分類されるか。

正解

ア. ソーシャルエンジニアリング

正答率 73.2%（112人中 82人が正解）

問題の解説

ソーシャルエンジニアリングとは，技術的手段ではなく人間の心理や行動の隙を突いて機密情報を入手する手口の総称である。緊急事態を装って人を慌てさせ，パスワードなどを聞き出す行為はこれに該当するため，正解はアである。

選択肢ごとの解説

• ア緊急事態を装って人から情報を聞き出すのは人間の心理を突く手口であり，ソーシャルエンジニアリングに分類されるため正しい。
• イトロイの木馬は正規ソフトを装って侵入する不正プログラムであり，人を欺いて聞き出す行為ではないため誤り。
• ウ踏み台攻撃は乗っ取った第三者のコンピュータを経由して攻撃する手口であり，人から情報を聞き出す行為ではないため誤り。
• エブルートフォース攻撃はパスワードを総当たりで試す技術的手口であり，人を欺く行為ではないため誤り。