令和6年度秋期 システム監査技術者 午前Ⅰ 問13

攻撃の目的と段階を切り分ける

候補を比べるときは、名称や印象で判断せず、攻撃者が何を達成しようとしているか、どの段階で対象へ作用するか、結果として誰の判断や行動に影響するかを順に整理しましょう。

この問題で問われていること

一つの観点として、攻撃の目的と実行される段階の対応関係に注目してください。入力された情報、加えられる変化、最終的に生じる影響を同じ軸で読み比べると、説明同士の違いを整理しやすくなります。

視点

判断では、表現の巧妙さそのものよりも、攻撃がどの目的に向けられ、対象への作用がどの時点で起こる設計として説明されているかを確認します。問題文の記述を、目的・作用する段階・想定される影響の三点に分けて読み、同じ観点で各候補を比較してください。

確認ポイント

• 目的と作用する段階が対応しているか
• 記述された入力・変化・影響を同じ順で整理したか
• 名称ではなく説明全体の因果関係を確認したか

正解

ア

解説

正答はア。AI技術で加工したCEOの音声を使って電話し、本人からの指示だと信じ込ませる攻撃は、ディープフェイクによるなりすましを悪用したものに該当する。

理由

アは、AI技術によってCEOの音声を加工し、本人が電話で指示しているように信じ込ませている。このように実在人物の音声や映像を人工的に作成・加工してなりすます行為が、ディープフェイクを悪用した攻撃です。

比較

イはランサムウェアによるデータ暗号化と身代金要求、ウは秘密情報を取得したと偽る脅迫、エは入手した認証情報による不正ログインです。いずれも選択肢の記述だけでは、AIによる人物の音声・映像の偽造は示されていない。

選択肢ア（正解）

これは正解だよ。AI技術で加工したCEOの音声を使って従業員に電話し、本人が指示しているように信じ込ませている。実在人物の音声を人工的に加工してなりすます点が、ディープフェイクを悪用した攻撃に該当する。

選択肢イ

これは不正解だよ。企業のPCをランサムウェアに感染させ、データを暗号化して復号鍵と引き換えに暗号資産を要求する行為は、ランサムウェア攻撃である。記述には、人物の音声や映像をAIで加工してなりすます要素がない。

選択肢ウ

これは不正解だよ。秘密情報を不正取得したと誤認させ、データを公開しない代わりに暗号資産を要求する行為は、脅迫や恐喝に当たる。電子メールを使っているが、AIで人物の音声や映像を偽造した内容ではない。

選択肢エ

これは不正解だよ。ディープウェブで入手した認証情報を使ってCEOの電子メールアカウントへ不正ログインし、偽のメールを送っている。これは認証情報の悪用となり、CEOの音声や映像をAIで加工するディープフェイクとは異なる。

学習のポイント

ディープフェイクは、AIで人物の音声や映像などを偽造し、本人になりすます攻撃に利用される。