令和5年度 ITパスポート試験 問89

企業の従業員になりすましてIDやパスワードを聞き出したり、くずかごを漁って機密情報を入手したりするなど、技術的な手法を用いずに人間の心理的な隙や行動のミスにつけ込んで情報を盗み出す攻撃をソーシャルエンジニアリングと呼びます。
したがって、正解はイです。

各選択肢の解説

• ア ゼロデイ攻撃
  ソフトウェアの脆弱性（セキュリティ上の欠陥）が発見された際、修正プログラムが提供される前にその脆弱性を突いて行われるサイバー攻撃です。技術的手法を用います。
• イ ソーシャルエンジニアリング
  正解です。電話で関係者を装ってパスワードを聞き出す、肩越しに画面を盗み見る（ショルダーハッキング）、ゴミ箱から機密書類を探し出す（トラッシング）などの物理的・非技術的な手法を指します。
• ウ ソーシャルメディア
  SNS（ソーシャルネットワーキングサービス）やブログなど、利用者が情報を発信し相互にやり取りできるサービスの総称です。攻撃手法ではありません。
• エ トロイの木馬
  安全なプログラムや有用なアプリケーションであるかのように装ってコンピュータに侵入し、バックグラウンドでデータの窃取や遠隔操作などの悪意のある動作を行うマルウェアの一種です。技術的手法を用います。