情報セキュリティマネジメント 平成29年度 春期 午前 問21

✓ これが正解ア オフィスから廃棄された紙ごみを，清掃員を装って収集して，企業や組織に関する重要情報を盗み出す。

解説

人の心理や運用の隙につけ込んで情報を得る行為です。

ソーシャルエンジニアリングは、システムの技術的な弱点ではなく、人の心理や習慣、注意の隙につけ込んで情報を手に入れる行為です。疑われにくい立場を装う、急いでいるように見せるといったやり方で、本来は渡されないはずの情報を引き出したり、入れないはずの場所に入り込んだりします。清掃員を装ってオフィスから廃棄された紙ごみを収集し、そこから企業や組織に関する重要情報を盗み出すという手口は、掃除の人なら中に入っていて当たり前という思い込みと、捨て方の運用の緩さをそのまま利用しています。技術的な仕掛けを一つも使っていない点が、まさにこの分類の特徴です。残りの三つは、いずれもプログラムを使って利用者IDやパスワードを機械的に手に入れようとするものです。

ほかの選択肢の解説

• イ キー入力を記録するソフトウェアを，不特定多数が利用するPCで動作させて，利用者IDやパスワードを窃取する。：キー入力を記録するソフトウェアを不特定多数が使うPCで動かして認証情報を盗み取るのは、キーロガーを仕込む技術的な手口です。装置に仕掛けを施して自動的に集めるものであり、人の思い込みや運用の緩さにつけ込む行為ではありません。
• ウ 日本人の名前や日本語の単語が登録された辞書を用意して，プログラムによってパスワードを解読する。：名前や単語を集めた辞書を用意し、プログラムでパスワードを言い当てていくのは辞書攻撃です。機械が候補を当てはめていくだけで、人の思い込みを利用する場面がどこにもありません。
• エ 利用者IDとパスワードの対応リストを用いて，プログラムによってWebサイトへのログインを自動的かつ連続的に試みる。：利用者IDとパスワードの対応リストを用いてログインを自動的かつ連続的に試みるのはパスワードリスト攻撃と呼ばれる手口で、どこかで流出した組合せの使い回しを突きます。人を相手にする行為ではありません。