ソーシャルエンジニアリングの例として当てはまるものはどれか。

正解：A. システムの管理者を名乗って電話をかけ、「障害の対応のため」と言って社員からパスワードを聞き出す

ソーシャルエンジニアリングは、技術的な手段ではなく、人の心理や習慣、不注意につけ込んで、パスワードなどの重要な情報を聞き出したり、操作をさせたりする手口の総称です。管理者や取引先、上司を名乗る電話やメール、肩越しに画面やキーの入力をのぞき見る(ショルダーハッキング)、捨てられた書類をあさる(トラッシング)などがあります。「急いで」「緊急」「内密に」のように、考える時間を与えない言い方が使われることが多いのが特徴です。対策として、電話やメールでパスワードを教えないという決まりを作って周知し、相手の身元を、知らされた連絡先ではなく、もともと知っている連絡先に問い合わせて確かめます。フィッシングも、人をだますという点でソーシャルエンジニアリングの一種です。入力欄に特殊な文字列を入れるのはSQLインジェクションのような技術的な攻撃、候補を次々に試すのは総当たり攻撃です。

• A. 正しい。人をだまして情報を聞き出すのが、ソーシャルエンジニアリングです。
• B. 入力欄から特殊な文字列でデータベースを操作するのは、SQLインジェクションのような技術的な攻撃です。
• C. パスワードの候補をプログラムで試すのは、総当たり攻撃(ブルートフォース攻撃)で、技術的な手段による攻撃です。