令和4年度 ITパスポート試験 問91
テクノロジ／セキュリティソーシャルエンジニアリングに該当する行為の例はどれか。
出典：令和4年度 ITパスポート試験 問91
- アあらゆる文字の組合せを総当たりで機械的に入力することによって，パスワードを見つけ出す。
- イ肩越しに盗み見して入手したパスワードを利用し，他人になりすましてシステムを不正利用する。
- ウ標的のサーバに大量のリクエストを送りつけて過負荷状態にすることによって，サービスの提供を妨げる。
- エプログラムで確保している記憶領域よりも長いデータを入力することによってバッファをあふれさせ，不正にプログラムを実行させる。
正解：イ
解説
ソーシャルエンジニアリングは，ネットワークや機器の技術的な脆弱性ではなく，人の心理や行動の隙を突いて情報を盗み出す手法です。肩越しにパスワード入力を盗み見る（ショルダーハッキング），ごみ箱をあさる，電話で担当者を装って聞き出す，などが例です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。あらゆる文字の組合せを試してパスワードを見つけるのは，総当たり攻撃（ブルートフォース攻撃）で，技術的な攻撃です。
- イ正しい。肩越しに盗み見てパスワードを入手するのは，人の行動の隙を突くソーシャルエンジニアリングの例です。
- ウ誤り。サーバに大量のリクエストを送って過負荷にするのは，DoS 攻撃です。
- エ誤り。記憶領域をあふれさせて不正にプログラムを実行させるのは，バッファオーバフロー攻撃です。