ITパスポート 令和4年度 問91

✓ これが正解イ 肩越しに盗み見して入手したパスワードを利用し，他人になりすましてシステムを不正利用する。

解説

ソーシャルエンジニアリングは、人の心の隙をつく手口です。

ソーシャルエンジニアリングは、プログラムの弱点や計算の力を使うのではなく、人の思い込みや不注意といった隙をついて情報を手に入れる手口の総称です。肩越しにのぞき見て入力中のパスワードを盗み、それを使って本人になりすます行為は、まさに人の隙をついた例にあたります。ほかにも、上司や取引先を装って電話で聞き出す、捨てられた書類をあさる、修理業者のふりをして部屋に入り込むといったやり方があり、どれも機械の側では防ぎきれません。だからこそ、画面を人に見られない向きに置く、名乗られた相手を折り返し確かめるといった、人の側の習慣で守ることになります。守る側にとっては、機械の設定では止められないぶん、かえって厄介な手口です。よって該当するのは、のぞき見たパスワードでなりすます例です。

ほかの選択肢の解説

• ア あらゆる文字の組合せを総当たりで機械的に入力することによって，パスワードを見つけ出す。：あらゆる文字の組合せを機械的に順に試してパスワードを見つけ出すのは、計算の力に任せた攻め方です。人をだましたり隙をついたりしているわけではないので、ソーシャルエンジニアリングには当たりません。人を相手にしていないので、この枠には入りません。
• ウ 標的のサーバに大量のリクエストを送りつけて過負荷状態にすることによって，サービスの提供を妨げる。：標的のサーバへ大量の要求を送りつけ、負荷をかけてサービスを止めるのも、機械の力で押し切る攻め方です。相手にしているのはサーバであって人ではないため、人の隙をつくという手口の枠には入りません。相手にしているのが人か機械かで分かれます。
• エ プログラムで確保している記憶領域よりも長いデータを入力することによってバッファをあふれさせ，不正にプログラムを実行させる。：確保された記憶領域より長いデータを入力してあふれさせ、不正にプログラムを実行させるのは、プログラムの作りの弱点をつく攻め方です。技術上の穴を突いており、人をだます手口ではありません。