令和7年度 秋期 応用情報技術者試験 午前 問36
テクノロジ／セキュリティサイバー攻撃の攻撃段階をモデル化したサイバーキルチェーンにおいて，“エクスプロイト” に該当する行為はどれか。
出典：令和7年度 秋期 応用情報技術者試験 午前 問36
- ア公開情報の閲覧，顧客を装った電子メールでの問合せなどを行い，標的とする組織を調査する。
- イ標的とする組織の PC で OS の脆弱性を悪用し，攻撃ツールを実行させる。
- ウ標的とする組織のサーバから秘密情報を窃取し，攻撃者が用意したサーバに送信する。
- エ標的とする組織の従業員にマルウェアを添付した電子メールを送りつける。
正解：イ
解説
サイバーキルチェーンは，攻撃を偵察，武器化，配送，エクスプロイト（攻撃），インストール，遠隔操作，目的の実行の7段階でモデル化したものです。エクスプロイトは，標的に届けたマルウェアなどを実際に動かす段階で，OS やアプリケーションの脆弱性を悪用して攻撃コードを実行させることを指します。
選択肢ごとの解説
- ア誤り。公開情報の閲覧や問合せなどで標的組織を調査するのは「偵察」の段階です。
- イ正しい。OS の脆弱性を悪用して攻撃ツールを実行させるのが「エクスプロイト」の段階です。
- ウ誤り。秘密情報を窃取して外部のサーバへ送信するのは，最終段階の「目的の実行」です。
- エ誤り。マルウェアを添付した電子メールを送りつけるのは「配送」の段階です。