平成24年度秋期 情報処理安全確保支援士 午前Ⅱ 問3

午前II 問03：SEOポイズニングって何？

SEOポイズニングは、検索エンジンの仕組みを悪用して、悪意あるサイトを検索結果の上位に出す攻撃だよ。たとえるなら、怪しいお店が地図アプリのランキングを不正に操作して、人気店みたいに見せかけるイメージ。利用者が普通に検索しただけでも、上の方に出てきた危険なサイトをうっかり開いてしまうんだ。

この問題で問われていること

この問題では、『検索結果を汚して悪意あるサイトへ誘導する攻撃』がSEOポイズニングだと見抜けるかがポイントだよ。ウイルス対策エンジンの脆弱性を突く話や、無線LANを探し回るwardrivingとは別物なので、そこを切り分けて考えよう。

SEO ポイズニングの狙い

利用者は検索上位を信頼しやすいため、攻撃者は人気キーワードに合わせて悪性ページを上位表示させ、誘導を狙う。

検索順位操作\n-> 悪性サイトを上位表示\n-> 利用者を誘導

確認ポイント

• wardriving は無線 LAN 探索です。
• IDS による検知記録の説明ではありません。
• 検索結果の上位へ悪性サイトを出す説明を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。SEOポイズニングは、検索サイトの順位付けの仕組みを悪用して、悪意のあるサイトを検索結果の上の方に出す攻撃だよ。たとえるなら、駅前の案内板を細工して、行きたいお店ではなく怪しい店に人を誘導するようなものだね。

選択肢イ

これは不正解だよ。これはSEOポイズニングではなく、ウイルス対策ソフトなどの弱点を突いて、強い権限で悪い処理を動かす攻撃の説明だよ。たとえるなら、検索結果で人をだます話ではなく、警備員の持っているマスターキーの弱点を悪用して、勝手に奥の部屋へ入るような話だね。

選択肢ウ

これは不正解だよ。これはSEOポイズニングではなく、車などで移動しながら無線LANを探して侵入を試みるウォードライビングの説明だよ。たとえるなら、検索サイトで人を誘導する話ではなく、街を回って鍵のかかっていない家の窓を探すような行為だね。

選択肢エ

これは不正解だよ。これはSEOポイズニングではなく、ネットワークの見張り番であるIDSの説明だよ。たとえるなら、検索結果をだましてお店の前に誘導する話ではなく、道路を通る車を監視カメラで見て、怪しい動きがあれば警備員に知らせる仕組みのことだね。