情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 科目B サンプル問題 問49: A 社は，放送会社や運輸会社向けに広告制作ビジネスを展開している。A 社は，人事業務の効率化を図るべく，人事業務の委託を検討することにした。A 社が委託する業務

正解

イ. B 業務に従事する従業員が，攻撃者からの電子メールを複合機からのものと信じて本文中にある URL をクリックし，攻撃者が用意した Web サイトにアクセスしてマルウェア感染する。その結果，A 社の採用予定者の個人情報が漏えいする。

正答率 42.5%（120人中 51人が正解）

問題の解説

図3が示すリスクは「複合機が送るメールの差出人・件名・本文・添付ファイル名が初期設定のまま固定であり，その初期設定情報がベンダーの Web サイトで公開されている」点にある。攻撃者はこの公開情報を使って複合機からのメールとほぼ同一の偽メールを容易に作成でき，しかも大きい PDF の場合は本文に保存先 URL を記載する仕様なので，URL でマルウェアサイトへ誘導するなりすましメールが成立する。従業員が複合機からのメールと信じて URL をクリックしマルウェア感染する選択肢イが，この発見事項から導かれる最も適切なリスクである。

選択肢ごとの解説

• アなりすまし利用は利用者 ID とパスワードでスキャン機能を使う点に関わるリスクであり，図3で指摘された「メール書式が初期設定で固定・公開」という事実とは無関係なので，今回評価したリスクには当たらない。
• イ正しい。メール書式が固定で公開されているため攻撃者が複合機からのメールを精巧に偽装でき，本文の URL からマルウェアサイトへ誘導できる。従業員が正規メールと誤認してクリックし感染する流れが図3の発見事項と直結する。
• ウPDF は従業員ごとに異なる鍵で暗号化されており，盗聴したファイルをさらに攻撃者が暗号化して身代金を要求するという筋書きは図3の固定・公開という論点と結び付かず，記述自体も不自然である。
• エURL を盗聴して SNS に公開しても，B サーバは社内ネットワーク上にあり社外からアクセスできないため個人情報漏えいには至らない。メール書式の固定・公開を突くリスクでもないので不適切である。