平成22年度秋期 応用情報技術者試験 午前 問39

正解：イ

AI解説

ソーシャルエンジニアリングとは、技術的手段ではなく、人間の心理的な隙や信頼、油断につけ込んで機密情報(パスワードなど)を不正に取得する手口の総称である。管理者や関係者を装って電話や対面で情報を聞き出す行為が典型例である。 ア: バックドアからの侵入は、ウイルス感染によって仕込まれた裏口を利用する技術的な不正アクセス手口であり、人間の心理を突く手口ではないためソーシャルエンジニアリングに分類されない。 イ: 正しい。システム管理者などを装って利用者からパスワードを聞き出す行為は、人の心理的な隙(権威への服従や信頼)を悪用する典型的なソーシャルエンジニアリングの手口である。 ウ: 総当たり攻撃(ブルートフォース攻撃)は、ツールを使って機械的にパスワードの組合せを試す技術的な攻撃手法であり、人間を騙す手口ではないためソーシャルエンジニアリングではない。 エ: バッファオーバフロー攻撃は、ソフトウェアの脆弱性(実装上の欠陥)を技術的に悪用する攻撃であり、人間の心理につけ込む手口ではないためソーシャルエンジニアリングに該当しない。 💡 ソーシャルエンジニアリングの判別基準は「技術的手段か、人的な騙し・心理的隙を突く手段か」。なりすまし電話、肩越しにパスワードを盗み見る(ショルダーハッキング)、ゴミ箱漁り(トラッシング)も代表例として覚えておく。