平成23年度特別 システム監査技術者 午前Ⅰ 問13

情報窃取手口を見分ける視点

各選択肢を個別の名称や印象で判断せず、誰が何をきっかけに情報へ近づき、利用者とのやり取りがどの順序で進む想定かという一つの観点にそろえて、落ち着いて比較しましょう。

この問題で問われていること

確認する中心点は、情報が得られるまでの関係者・接点・働きかけの流れです。選択肢ごとにその流れを短く整理し、表現の細部ではなく同じ軸で違いを丁寧に見比べてください。

視点

手口を区別するときは、名称を暗記するよりも、情報取得に至る過程を同じ枠組みで読み取ることが重要です。登場する主体、接触の場面、相手に求める行動を分けて整理すると、説明の焦点を比較しやすくなります。

確認ポイント

• 情報に至るまでの流れを順番に整理する
• 関係者と接触場面を同じ基準で確認する
• 表現の印象ではなく働きかけの流れを比べる

正解

ア

解説

緊急事態を装って組織内部の人間からパスワードや機密情報を聞き出す行為は、技術的な侵入ではなく、人の心理や判断に働きかけて情報を得る手口に分類される。

理由

この行為は、緊急事態らしい状況を作り、組織内部の人間に情報を伝えさせる点が特徴です。相手の心理や判断を利用してパスワードや機密情報を入手するため、人を対象とした情報窃取の分類に該当する。

比較

トロイの木馬は正規ソフトなどに見せかけた不正プログラム、パスワードクラックは認証情報を推測・解析する攻撃、踏み台攻撃は侵入した機器を別の攻撃の中継に利用する行為です。本問の手段とは異なる。

選択肢ア（正解）

これは正解だよ。ソーシャルエンジニアリングは、相手を信用させたり緊急性を感じさせたりして、会話や依頼などを通じてパスワードや機密情報を聞き出す手口である。本問は組織内部の人間の判断や心理に働きかけて情報を得ているため、この分類に該当する。

選択肢イ

これは不正解だよ。トロイの木馬は、便利なソフトや通常のファイルなどを装って利用者に実行させ、内部で不正な処理を行うプログラムを指す。本問は不正プログラムを動かして情報を盗むのではなく、人に緊急事態を信じ込ませて情報を得る行為である。

選択肢ウ

これは不正解だよ。パスワードクラックは、パスワードを推測したり、規則的に試行したり、解析したりして認証を突破しようとする技術的な攻撃である。本問ではパスワードを計算や試行で破るのではなく、組織内部の人間から直接聞き出している点が異なる。

選択肢エ

これは不正解だよ。踏み台攻撃は、侵入に成功したコンピュータやサーバを別のシステムへの攻撃中継に利用し、攻撃者の身元を隠す行為をいう。本問には侵入済みの機器を中継する過程はなく、相手の判断に働きかけて情報を入手する点が異なる。

学習のポイント

人への働きかけと、システムや認証情報への技術的攻撃を区別する。