登場人物
美咲（みさき）
女子大生。就活のエントリーシートの資格欄が真っ白なことに気づき、慌ててITパスポートの勉強を開始。ITは完全に素人。高校時代は可愛くて人気者だったので、ちょっとプライドが高い。素直じゃない。
拓也（たくや）
美咲の高校時代の同級生。東京大学工学部。子どもの頃からパソコンばかりいじってきた生粋のオタク。実は美咲のことが好きだが、10年近く言い出せていない。教えるのは得意だが、口が悪いのが玉に瑕。
今日の問題
今日の問題
ソーシャルエンジニアリングに該当する行為の例はどれか。
- アあるゆる文字の組合せを総当たりで機械的に入力することによって、パスワードを見つけ出す。
- イ肩越しに盗み見して入手したパスワードを利用し、他人になりすましてシステムを不正利用する。
- ウ標的のサーバに大量のリクエストを送りつけて過負荷状態にすることによって、サービスの提供を妨げる。
- エプログラムで確保している記憶領域よりも長いデータを入力することによってバッファをあふれさせ、不正にプログラムを実行させる。
第1幕：夏の終わりの部屋で
美咲の部屋の窓から、少し涼しい風が入ってくる。網戸越しに聞こえる虫の声が、真夏とは違う音色になっていた。
美咲
なんか、今日、風が違うわね
拓也
うん。夏、終わったんだなあって感じがする
美咲
そういえば、この前スマホの暗証番号、電車で誰かに見られてた気がして、ちょっと怖くなったのよね
拓也
あ、それ、今日の問題にちょうどいい話だ
第2幕：総当たりでパスワードを探すことでしょ
美咲
じゃあ答えるわね。これアでしょ。『あらゆる文字の組み合わせを総当たりで入力する』
拓也
お、なんでそう思った?
美咲
だって、パスワードを暴くのに、力技で全部試すのって、なんか"人の隙を突いてる"感じがしたから
拓也
発想はわかるんだけど、実は"総当たりで機械的に試す"のは、技術力だけで攻める方法なんだ。ソーシャルエンジニアリングは、それとは真逆
美咲
え、逆なの?
拓也
うん。ソーシャルエンジニアリングは、技術力じゃなくて、"人の不注意やうっかり"につけ込む攻撃。今日の問題で言うと、"肩越しに盗み見してパスワードを入手する"のが、それに当たるんだ
第3幕：後ろから覗かれる暗証番号
拓也は、玄関のドアについた電子錠を指さした。
拓也
たとえば、この電子錠。暗証番号を入力してるとき、後ろに人が立ってて、その番号を覗き見されたらどうなる?
美咲
……普通に、番号知られちゃうわね
拓也
それだよ。鍵自体をピッキングしたわけでも、システムをハッキングしたわけでもない。ただ"見ていた"だけで、突破できてしまう。これが、肩越しの盗み見（ショルダーハッキング）
美咲
あ……! 技術じゃなくて、単純に"見られた"だけっていうのが、ソーシャルエンジニアリングらしいところなのね
拓也
そのとおり。イの"肩越しに盗み見してパスワードを入手し、なりすまして不正利用する"が、まさにソーシャルエンジニアリングの例。正解はイ
美咲
電車で暗証番号見られたかも、って思ったの、あながち考えすぎじゃなかったのね
拓也
うん、次からは、入力するとき、手で隠すくらいでちょうどいいよ
第4幕：気が早すぎることを口走ってしまう
拓也
にしても、もうすっかり秋の気配だな。……そういえば、来年の夏も、また海行こうね
美咲
……は? 気が早すぎるでしょ、それ
拓也
あ……
美咲
まだ今年の秋も冬も来てないのに、なんでもう来年の夏の話してるのよ
拓也
いや、なんか、今年楽しかったから、つい
美咲
気持ちはわからなくもないけど、順番があるでしょ、順番が
拓也
……たしかに、気が早すぎた。すみません
美咲
まったく……。でもまあ、そのときになったら、考えてあげてもいいけど
拓也
それ、行ってくれるってこと?
美咲
気が早いって、今言ったばかりでしょ
拓也は、慌てて口をつぐんだ。それでも、美咲の口元は、少しだけ緩んでいた。
第5幕：残りの選択肢を片付ける
気を取り直して、美咲がノートに向き直る。
美咲
……気を取り直して。残りのウとエも教えて
拓也
ウは、DDoS攻撃の説明。大量のリクエストを送りつけて、サーバを過負荷状態にし、サービスの提供を妨害する攻撃。これは、純粋に技術とネットワークの力で押し切る攻撃なんだ
美咲
エは?
拓也
エは、バッファオーバーフロー攻撃。プログラムが確保しているメモリ領域よりも長いデータを送り込んで、バッファを溢れさせ、不正にプログラムを実行させる攻撃。これも、技術的な脆弱性を突く方法
美咲
総当たり、DDoS、バッファオーバーフローは、全部技術力で攻める方法。肩越しの盗み見だけが、"人の隙"を突く方法なのね
拓也
完璧な整理。技術で守れるものと、人の注意力でしか守れないもの、両方あるってことなんだ
問題文（再掲）
ソーシャルエンジニアリングに該当する行為の例はどれか。
- アあるゆる文字の組合せを総当たりで機械的に入力することによって、パスワードを見つけ出す。
- イ肩越しに盗み見して入手したパスワードを利用し、他人になりすましてシステムを不正利用する。
- ウ標的のサーバに大量のリクエストを送りつけて過負荷状態にすることによって、サービスの提供を妨げる。
- エプログラムで確保している記憶領域よりも長いデータを入力することによってバッファをあふれさせ、不正にプログラムを実行させる。
まとめ：選択肢ごとの答え合わせ
| 選択肢 | 内容 | 正誤 |
|---|---|---|
| ア | 総当たりでパスワードを見つけ出す | 不正解（技術的手法） |
| イ | 肩越しに盗み見してパスワードを入手する | 正解（ソーシャルエンジニアリング） |
| ウ | 大量リクエストでサービスを妨害する（DDoS攻撃） | 不正解（技術的手法） |
| エ | バッファをあふれさせ不正実行させる（バッファオーバーフロー） | 不正解（技術的手法） |
答えイ 肩越しに盗み見して入手したパスワードを利用し、他人になりすましてシステムを不正利用する
覚え方のコツ
技術で攻めるか、人の隙を突くか。ソーシャルエンジニアリングは後者。
- ソーシャルエンジニアリング＝技術力ではなく、人の不注意やうっかりにつけ込む攻撃
- 肩越しの盗み見（ショルダーハッキング）は、その典型例
- 総当たり攻撃・DDoS攻撃・バッファオーバーフローは、いずれも技術的な手法で、性質が異なる
エピローグ
夕方、美咲が窓を閉めながら言った。
美咲
……この夏、いろいろあったわね
拓也
うん、ほんとに
美咲
落ちて、へこんで、田舎に逃げて、あんたに怒られて。……それでも、なんとかここまで戻ってこられた
拓也
戻ってきたっていうか、前より、ちゃんと前を向けてる気がするよ
美咲
……そうかもね
美咲は、机の上のノートを見つめた。びっしりと書き込まれた、この数ヶ月分の記録。
美咲
次は、絶対受かる。今度こそ、ちゃんと
拓也
うん。……俺も、ちゃんと最後まで付き合うから
美咲
わかってる。……あんたが、そういう人だってことくらい
窓の外では、夏の終わりの夕焼けが、街をオレンジ色に染めていた。二人の勉強会は、まだ、これからも続いていく。
今日のポイントおさらい
- ソーシャルエンジニアリング＝技術力ではなく、人の不注意やうっかりにつけ込む攻撃
- 肩越しの盗み見（ショルダーハッキング）は、その典型的な例
- 総当たり攻撃は、あらゆる組み合わせを機械的に試す技術的な手法
- DDoS攻撃は大量リクエストによる妨害、バッファオーバーフローはメモリ領域を悪用する技術的な攻撃
- 技術で守れるものと、人の注意力でしか守れないもの、両方への対策が必要
この記事はITパスポート試験 令和4年度 問91（テクノロジ系／セキュリティ）の解説です。