ピックアップ過去問解説 - 経営情報システム平成30年第23問 - ソーシャルエンジニアリング

問題

　近年、機密情報への攻撃の手法が多様化している。機密情報を不正に入手する手法であるソーシャルエンジニアリングに関する記述として、最も不適切なものはどれか。

ア　シュレッダーで処理された紙片をつなぎ合わせて、パスワードを取得する。

イ　パソコンの操作画面を盗み見して、パスワードを取得する。

ウ　文字列の組み合わせを機械的かつ総当たり的に試すことで、パスワードを取得する。

エ　ユーザになりすまして管理者に電話し、パスワードを取得する。

解答・解説

解答：ウ

　　経営情報システムから、セキュリティリスクのうち、ソーシャルエンジニアリングについての問題です。ソーシャルエンジニリングについてその特徴を覚えていた人は、正解できる問題です。

まずは、ソーシャルエンジニアリングについて簡単に復習しておきましょう。

ソーシャルエンジニアリングは、人間の不注意や間違いにつけこんだり、盗み聞きなどを利用したりする人的脅威であり、非技術的な方法で情報を不正に入手する手口のことです。

　ここまでを押さえた上で、順番に記述を見ていきましょう。

　選択肢アは、シュレッダーで処理された紙片をつなぎ合わせ、パスワードを盗み取る手法について問われています。

このような手法は、非技術的な手法であり、ソーシャルエンジニアリングに関する記述としては適切です。

　選択肢イは、パソコンの操作画面を覗いて、パスワードを盗み見る手法について問われています。

このような手法は、非技術的な手法であり、ソーシャルエンジニアリングに関する記述としては適切です。

　選択肢ウは、文字列の組み合わせを機械的かつ総当たり的に試すことで、パスワードを取得する手法について問われています。この手法は「総当たり攻撃」と呼ばれるもので、コンピュータを使って自動的に、無数の文字列の組み合わせを入力していくものです。よってソーシャルエンジニアリングに関する記述としては不適切であり、これが正解です。

参考として、残りの選択肢も見ておきましょう。

　選択肢エは、ユーザになりすまし、管理者からパスワードを取得する手法について問われています。

このような手法は、非技術的な手法であり、ソーシャルエンジニアリングに関する記述としては適切です。

以上より、ウが正解となります。

セキュリティリスクに関する出題は増加傾向にありますので、きちんと押さえておくようにしましょう。