分類テクノロジ系 » セキュリティ » 情報セキュリティ新しい試験23-1 脅威と脆弱性年度令和5年度の100問の一覧
企業の従業員になりすましてIDやパスワードを聞き出したり，くずかごから機密情報を入手したりするなど，技術的手法を用いない攻撃はどれか。
正解と解説
正解：イ
ア× ゼロデイ攻撃は、ソフトウェアの脆弱性が見つかってから修正プログラムが提供されるまでの間に、その脆弱性を突く攻撃です。技術的な手法です。
イ○ 正解 なりすましで聞き出したり、くずかごをあさったりと、人のすきにつけ込んで情報を得るのがソーシャルエンジニアリングです。
ウ× ソーシャルメディアは、SNS や動画共有サイトなど、利用者どうしが情報を発信し合うサービスの総称です。攻撃の名前ではありません。
エ× トロイの木馬は、役に立つソフトウェアに見せかけて利用者に実行させ、裏で不正な動作をするマルウェアです。技術的な手法です。
解説
情報を盗む手口は、コンピュータの弱点を突くものだけではありません。関係者になりすまして電話でパスワードを聞き出す、肩越しに画面をのぞき見る、捨てられた書類をくずかごから拾う、といった人の心理や不注意につけ込む手口をまとめてソーシャルエンジニアリングと呼びます。
決め手は問題文の最後の「技術的手法を用いない攻撃」です。ほかの選択肢のうち2つはソフトウェアの弱点やマルウェアを使う技術的な攻撃で、残る1つは攻撃ではなく SNS などのサービスの総称です。
教科書 23-1この問題の知識
脅威は損害の原因、脆弱性は付け込まれる弱点。この区別から始めて、人のすきを突くソーシャルエンジニアリング、ボットやランサムウェアなどのマルウェア、シャドーIT、不正のトライアングルまでを、公開問題を解ける形でまとめます。
この節で扱うこと：脅威の種類・マルウェア・不正プログラム・脆弱性・不正の動機・メカニズム
Udemy の ITパスポート講座を、受講者数・★評価・口コミで比べたページです（広告を含みます）。
過去問教科書の一覧（現行の試験の順）教科書の一覧（新しい試験の順）
出典：IPA「ITパスポート試験 公開問題」令和5年度 問89。問題文と選択肢は改変せずに引用しています（表・図は文字に書き起こしたもの）。正解は IPA 公表の解答例によります。