セキュリティの脅威：フィッシング、マルウェア、ソーシャルエンジニアリングと対策

この節の練習問題（24問）

答えを見る前に選んでから開いてください。同じ問題は章別演習でランダム出題されます。

1. 問1
   実在する企業や銀行を装ったメールやWebサイトで、利用者にIDやパスワード、クレジットカード番号を入力させて盗み取る手口を何と呼ぶか。正しいものを1つ選びなさい。
   1. 1フィッシング詐欺
   2. 2ランサムウェア
   3. 3ディープフェイク
   4. 4ドロップアウト
   答えと解説

   正解: 1

   フィッシング詐欺は、正規の企業や金融機関になりすましたメールやサイトで利用者をだまし、認証情報や決済情報を入力させて盗む手口です。ランサムウェアはデータを暗号化して身代金を要求するマルウェア、ディープフェイクは映像・音声の偽造技術、ドロップアウトは機械学習の過学習対策で、詐欺の手口ではありません。

2. 問2
   「スミッシング」と「ヴィッシング」の説明の組み合わせとして正しいものを1つ選びなさい。
   1. 1スミッシング: 偽のWi-Fiアクセスポイントを使った通信の盗聴。ヴィッシング: 偽のQRコードを使った偽サイトへの誘導。
   2. 2スミッシング: SMS（ショートメッセージ）を使ったフィッシング。ヴィッシング: 電話や音声を使ったフィッシング。
   3. 3スミッシング: 電話や音声を使ったフィッシング。ヴィッシング: SMS（ショートメッセージ）を使ったフィッシング。
   4. 4スミッシング: SNSのダイレクトメッセージを使ったフィッシング。ヴィッシング: 動画共有サイトを使ったフィッシング。
   答えと解説

   正解: 2

   スミッシングはSMS（ショートメッセージ）とフィッシングを組み合わせた言葉で、宅配業者や金融機関を装ったSMSのリンクから偽サイトに誘導する手口です。ヴィッシングはボイス（音声）とフィッシングを組み合わせた言葉で、電話や自動音声で本人確認を装い情報を聞き出す手口です。両者を入れ替えた説明は誤りです。偽のWi-FiやQRコード、SNSのダイレクトメッセージや動画サイトを使う手口は、これらの用語が指すものではありません。

3. 問3
   「マルウェア」の説明として、最も適切なものを1つ選びなさい。
   1. 1受信したメールを内容や送信者に応じて自動で分類し、迷惑メールを隔離する機能を持つソフトウェアの総称
   2. 2Linuxなど、ソースコードが公開され、誰でも無償で利用・改変・再配布できるソフトウェアの総称
   3. 3ウイルス、ワーム、トロイの木馬、スパイウェアなど、悪意を持って作られた有害なソフトウェアの総称
   4. 4不要なファイルの削除やメモリの解放を行い、パソコンの動作を高速化する目的で作られた正規のソフトウェアの総称
   答えと解説

   正解: 3

   マルウェア（malicious software）は、情報の窃取、破壊、遠隔操作などの悪意ある目的で作られたソフトウェアの総称で、ウイルス、ワーム、トロイの木馬、スパイウェア、ランサムウェアなどが含まれます。アンチウイルスソフトウェアはこれらを検出・駆除する対策ソフトです。高速化ソフト、メール分類機能、オープンソースソフトはマルウェアではありません。

4. 問4
   ランサムウェアの特徴として、最も適切なものを1つ選びなさい。
   1. 1感染したコンピュータの画面に広告を繰り返し表示し、利用者の閲覧履歴を収集して広告主に送る
   2. 2感染したコンピュータのキーボード入力を記録し、パスワードやクレジットカード番号を盗み出す
   3. 3多数のコンピュータからWebサイトに大量のアクセスを送りつけ、サービスを停止に追い込む
   4. 4感染したコンピュータのファイルを暗号化して使えなくし、復元と引き換えに身代金を要求する
   答えと解説

   正解: 4

   ランサムウェアは、ファイルやシステムを暗号化して業務を止め、復号と引き換えに身代金（ransom）を要求するマルウェアです。近年は盗んだデータを公開すると脅す二重脅迫も増えています。広告表示はアドウェア、入力の記録はキーロガー、大量アクセスによる停止はDDoS攻撃の説明です。

5. 問5
   ソーシャルエンジニアリング攻撃の説明として、最も適切なものを1つ選びなさい。
   1. 1技術的な脆弱性ではなく、人間の心理や行動の隙を突いて情報を聞き出したり操作させたりする攻撃
   2. 2SNSのつながりを解析して人間関係を推定し、ネットワークの中心にいる人物のアカウントを乗っ取る攻撃
   3. 3ソフトウェアの未修正の脆弱性を突いて、利用者の操作を介さずに端末へ侵入し情報を盗み出す攻撃
   4. 4AIモデルに細工した入力を与えて誤った判断を引き出し、学習済みの内部情報を推定する攻撃
   答えと解説

   正解: 1

   ソーシャルエンジニアリングは、システムの弱点ではなく人の信頼や不注意、恐怖心などの心理を利用して、パスワードや機密情報を引き出す攻撃手法です。上司や取引先を装う電話、もっともらしい口実（プレテキスト）を使った依頼などが典型です。SNSの人間関係を解析してアカウントを乗っ取る手口や、未修正の脆弱性を突く侵入、AIモデルに細工した入力を与える攻撃は技術的な攻撃であり、人の心理を突くソーシャルエンジニアリングとは区別されます。

6. 問6
   通常のフィッシングと「スピアフィッシング」の違いとして、最も適切なものを1つ選びなさい。
   1. 1スピアフィッシングは釣り具や魚釣りの通販サイトを装った偽サイトに誘導し、クレジットカード情報を入力させる攻撃である
   2. 2スピアフィッシングは特定の個人や組織を狙い、業務内容や人間関係などを調べたうえで本物らしく仕立てた標的型の攻撃である
   3. 3スピアフィッシングは不特定多数の相手に同じ文面のメールを大量に送信し、そのうちわずかでも反応があれば成功とする攻撃である
   4. 4スピアフィッシングは電話や音声通話のみを使って相手をだます攻撃で、メールやSNSのメッセージは使わない点が異なる
   答えと解説

   正解: 2

   スピアフィッシングは「槍（spear）」で特定の獲物を狙うように、特定の企業や個人を対象に、事前に集めた情報を使って上司や取引先からの本物らしいメールを装う標的型攻撃です。不特定多数への大量送信は通常のフィッシング、電話のみを使うのはヴィッシングで、釣りサイトとは無関係です。

7. 問7
   「ベイト攻撃」と「ブラックメール」の説明の組み合わせとして正しいものを1つ選びなさい。
   1. 1ベイト攻撃: 大量の不正なアクセスを送りつけてサーバーを停止させる手口。ブラックメール: 送信元を偽装したメールで添付ファイルを開かせ、業務用の端末をマルウェアに感染させる手口。
   2. 2ベイト攻撃: AIの学習データに不正なデータを混入させて出力を操作する手口。ブラックメール: 実在の取引先を装ったメールで偽の口座への振込を指示し、金銭をだまし取る手口。
   3. 3ベイト攻撃: 無料ダウンロードや放置されたUSBメモリなどの「餌」で誘い、マルウェアに感染させる手口。ブラックメール: 秘密や恥ずかしい情報を公開すると脅して金銭などを要求する手口。
   4. 4ベイト攻撃: 秘密や恥ずかしい情報を公開すると脅して金銭などを要求する手口。ブラックメール: 無料ダウンロードや放置されたUSBメモリなどの「餌」で誘い、マルウェアに感染させる手口。
   答えと解説

   正解: 3

   ベイト（bait）攻撃は「餌」を使う手口で、魅力的な無料コンテンツや、拾わせることを狙って放置したUSBメモリなどで利用者を誘い、マルウェアに感染させます。ブラックメールは、私的な情報や映像を公開すると脅して金銭や情報を要求する脅迫です。画面や背景の色、郵便、学習データの混入とは関係ありません。

8. 問8
   悪意のあるQRコードを使った攻撃への対策として、最も適切なものを1つ選びなさい。
   1. 1QRコードは画像形式なのでウイルスを含むことはなく、読み取った後に表示されるURLは確認せずに開いてよい。公共の場のQRコードも公式のものと考えてよい。
   2. 2読み取った後に表示された画面がログイン画面であれば公式サイトと判断してすぐにIDとパスワードを入力する。公共の場のQRコードは管理者がいるので信頼してよい。
   3. 3表示されたURLが短縮URLであれば公式のものと判断してそのまま開く。公共の場に貼られたQRコードは印刷が鮮明で新しいものであれば本物と考えてよい。
   4. 4読み取った後に表示されるURLのドメインを確認し、不審なら開かない。公共の場に貼られたQRコードは上から偽物が貼られていないか注意する。
   答えと解説

   正解: 4

   QRコードはリンク先が見た目で分からないため、偽サイトへの誘導やマルウェアのダウンロードに悪用されます（クイッシング）。駐車場の精算機やポスターに偽のQRコードが上貼りされた事例もあります。読み取り後のURLを確認し、不審なら開かないことが対策です。画像だから安全、すべて信頼してよいという考えは誤りで、すぐにログイン情報を入力するのは最も危険な行動です。

9. 問9
   公共の無料Wi-Fiを利用する際のリスクと対策として、最も適切なものを1つ選びなさい。
   1. 1暗号化されていない、または攻撃者が設置した偽のアクセスポイントでは通信を盗み見られる恐れがあるため、機密性の高い操作は避けるかVPNを使う。
   2. 2店舗や施設が提供する無料Wi-Fiは提供者が通信の安全性を保証しているため、パスワード付きであればネットバンキングなどの操作も問題なく行える。
   3. 3Wi-Fiの名前（SSID）が店名や施設名と一致していれば正規のアクセスポイントと判断できるため、接続前にSSIDを確認すれば盗聴の心配はない。
   4. 4通信内容はWebサイト側で常に暗号化されているため、偽のアクセスポイントに接続しても盗み見られる恐れはなく、VPNなどの対策は不要である。
   答えと解説

   正解: 1

   公共Wi-Fiには、暗号化されていない通信を盗聴されるリスクや、店名に似せた名前で攻撃者が設置した偽アクセスポイントに接続してしまうリスクがあります。対策は、ログインや決済などの機密性の高い操作を避ける、VPNやHTTPSの通信を使うことです。提供者が安全を保証しているわけではなく、SSIDが同じでも本物とは限りません。接続だけで必ず感染するという説明も誤りです。

10. 問10
    ファイル共有・アップロードサービスに関するリスクの説明として、最も適切なものを1つ選びなさい。
    1. 1共有リンクは発行した本人にしか開けない仕組みのため、リンクの流出よりも端末のパスワードの使い回しが主なリスクとなる
    2. 2正規のサービスを装った偽サイトにファイルをアップロードさせて情報を盗む手口や、共有リンクの設定ミスによる情報漏えいがある
    3. 3アップロードしたファイルは送信中に自動で暗号化されるため、リスクは通信の盗聴に限られ、サービス側の保管には問題が生じない
    4. 4リスクは主にファイル容量の上限を超えて送信に失敗することであり、共有リンクの公開範囲の設定は情報漏えいとは関係しない
    答えと解説

    正解: 2

    ファイル転送・共有サービスには、正規サービスを装った偽サイトへのアップロードを促して情報を盗む詐欺や、「リンクを知っている全員が閲覧可」の設定ミスによる漏えいのリスクがあります。すべてが暗号化されて安全という前提や、共有リンクが社内にしか広まらないという前提、自動削除されるから安全という前提はいずれも誤りです。

11. 問11
    SNSやアプリの「プライバシー設定」を見直す目的として、最も適切なものを1つ選びなさい。
    1. 1表示される広告の量を減らし、アプリの通信量を抑えることで動作を高速化し、電池の消費も抑えるため
    2. 2パスワードや二段階認証の入力を不要にして、ログインの手間を減らしながらアカウントを保護するため
    3. 3投稿や位置情報、連絡先などの情報を誰に公開するかを自分で制御し、意図しない相手に個人情報が渡るのを防ぐため
    4. 4自分の投稿や位置情報を検索エンジンに登録させ、より多くの人に見つけてもらいやすくするため
    答えと解説

    正解: 3

    プライバシー設定は、投稿の公開範囲、位置情報の共有、連絡先へのアクセス許可などを自分で管理し、意図しない相手に個人情報が渡ることを防ぐためのものです。初期設定のまま公開範囲が広くなっていることが多いため、定期的な確認が推奨されます。動作の高速化、広告の完全な除去、パスワードの不要化はプライバシー設定の目的ではありません。

12. 問12
    経理担当者に、社長の名前で「至急、取引先への振込を今日中に済ませてほしい。詳細は添付のとおり」というメールが届いた。送信元のアドレスは社長のものに似ているが、末尾が少し違う。最も適切な対応を1つ選びなさい。
    1. 1メールのアドレスが社長のものに近いため、本人からの指示と判断して振り込む
    2. 2添付を開かず、届いたメールにそのまま返信して社長本人に確認する
    3. 3添付を開いて振込先を確認し、金額が通常の範囲なら指示どおり振り込む
    4. 4添付を開かず、メールとは別の手段（電話や対面）で社長本人に確認する
    答えと解説

    正解: 4

    経営者や取引先になりすまして送金を急がせる手口はビジネスメール詐欺（BEC）と呼ばれ、ソーシャルエンジニアリングの典型です。似せたアドレスと「至急」という圧力は危険信号なので、メール以外の経路で本人に確認するのが適切です。メールに返信しても攻撃者に届くだけで確認になりません。添付を開く行為はマルウェア感染の恐れがあり、指示どおり振り込むのは被害そのものです。

13. 問13
    「お荷物をお届けしましたが不在でした。こちらから再配達の手続きを」というSMSが届き、短縮URLが添えられている。この手口の名称と対応の組み合わせとして最も適切なものを1つ選びなさい。
    1. 1スピアフィッシング。自分だけが狙われているので、送信元に返信して意図を問いただす
    2. 2ランサムウェア。リンクを開いてもファイルが暗号化されるだけなので、開いて確認する
    3. 3スミッシング。SMSのリンクは開かず、宅配業者の公式アプリやサイトから配達状況を確認する
    4. 4ヴィッシング。SMSに記載の番号に電話をかけて、本人確認をしてから手続きする
    答えと解説

    正解: 3

    SMSを使って偽サイトに誘導し情報を盗む手口はスミッシングです。宅配業者や金融機関を装うのが典型で、リンクは開かず、公式アプリやサイトから確認します。ヴィッシングは電話や音声を使う手口、スピアフィッシングは特定の相手を狙った標的型の攻撃で、記載の番号に電話したり返信したりするのは攻撃者に情報を渡す行為です。ランサムウェアは暗号化して身代金を要求するマルウェアで、リンクを開いて確認するのは危険です。

14. 問14
    銀行を名乗る自動音声の電話で「不正利用の疑いがあるので、本人確認のため口座番号と暗証番号を入力してください」と求められた。最も適切な対応を1つ選びなさい。
    1. 1不正利用を一刻も早く止めるために、求められたとおり口座番号と暗証番号を入力する
    2. 2自動音声は人間ではないので情報が外部に漏れる心配はなく、入力しても問題はない
    3. 3折り返しを求められたので、電話で案内された番号にかけ直して本人確認の手続きに応じる
    4. 4電話を切り、銀行の公式サイトやカード裏面に記載の番号に自分からかけ直して確認する
    答えと解説

    正解: 4

    電話や自動音声で本人確認を装い情報を聞き出す手口はヴィッシングです。銀行が電話で暗証番号を求めることはなく、自動音声でも入力した情報は攻撃者に渡ります。案内された番号にかけ直すのも攻撃者につながるだけです。電話を切り、公式サイトやカード裏面の番号に自分からかけ直して確認するのが適切です。

15. 問15
    スピアフィッシングの説明として、最も適切なものを1つ選びなさい。
    1. 1特定の個人や組織を狙い、業務内容や人間関係を調べたうえで本物らしく仕立てた標的型の攻撃
    2. 2不特定多数に同じ文面のメールを大量に送り、わずかでも引っかかる人を狙う攻撃
    3. 3SMSのメッセージを使って偽サイトに誘導し、IDやパスワードを入力させる攻撃
    4. 4電話や自動音声を使って本人確認を装い、口座番号などを聞き出す攻撃
    答えと解説

    正解: 1

    スピアフィッシングは、特定の個人や組織を狙い、業務内容や人間関係を調べたうえで本物らしく仕立てた標的型の攻撃です。不特定多数への大量送信は一般的なフィッシング、SMSを使うのはスミッシング、電話や音声を使うのはヴィッシングです。

16. 問16
    ランサムウェアに関する記述として、不適切なものを1つ選びなさい。
    1. 1ウイルスやトロイの木馬と同じく、悪意を持って作られた有害なソフトウェアの一種である
    2. 2ファイルを暗号化する代わりに、画面に広告を表示し続けるだけで実害のないソフトウェアである
    3. 3感染したコンピュータのファイルを暗号化して使えなくし、復元と引き換えに身代金を要求する
    4. 4盗んだデータを公開すると脅す二重脅迫の手口も増えている
    答えと解説

    正解: 2

    ランサムウェアは、ファイルを暗号化して使えなくし、復元と引き換えに身代金を要求するマルウェアで、盗んだデータの公開で脅す二重脅迫も増えています。「広告を表示するだけで実害がない」という記述は誤りです。

17. 問17
    社長のメールアドレスとよく似たアドレスから「取引先への支払いを今日中に別の口座へ送金してほしい。会議中なので電話には出られない」というメールが届いた。最も適切な対応を1つ選びなさい。
    1. 1会議中とのことなので電話はせず、指示どおり今日中に送金を実行する
    2. 2アドレスが似ているので本物と判断し、社内の承認手順を省いて送金する
    3. 3メールには返信せず、電話や対面など別の手段で社長本人に事実を確認する
    4. 4社長からの指示なので、メールに返信して詳細を確認したうえで送金する
    答えと解説

    正解: 3

    経営者や取引先になりすまして送金を急がせる手口はビジネスメール詐欺（BEC）で、ソーシャルエンジニアリングの一種です。「至急」「電話に出られない」という圧力と、似せたアドレスは危険信号です。メールに返信しても攻撃者に届くだけなので、電話や対面など別の手段で本人に確認し、承認手順を省かないのが正しい対応です。

18. 問18
    ソーシャルエンジニアリング攻撃の特徴として、最も適切なものを1つ選びなさい。
    1. 1ソフトウェアの脆弱性を突いてサーバーに侵入し、内部のデータベースを直接書き換えて改ざんする
    2. 2大量の通信を送りつけてサーバーを停止させ、正規の利用者がサービスを利用できなくする
    3. 3無線LANの電波を傍受して、暗号化されていない通信の内容を第三者が盗み見る
    4. 4システムの脆弱性ではなく、人間の心理や行動の隙を突いて情報を聞き出したり操作させたりする
    答えと解説

    正解: 4

    ソーシャルエンジニアリング攻撃は、システムの脆弱性ではなく、人間の信頼・不注意・恐怖心といった心理や行動の隙を突く攻撃です。プレテキスト、ベイト攻撃、ブラックメール、ビジネスメール詐欺などが含まれます。脆弱性を突く侵入、大量通信によるサービス停止、電波の傍受は技術的な攻撃で、ソーシャルエンジニアリングの特徴ではありません。

19. 問19
    会社の駐車場に「給与一覧」とラベルの付いたUSBメモリが落ちていた。最も適切な対応を1つ選びなさい。
    1. 1ベイト攻撃の可能性があるため、自分のパソコンには接続せず、情報システム部門に届ける
    2. 2落とした持ち主を特定するために、自分のパソコンに接続して中身のファイルを確認する
    3. 3給与情報は機密なので、誰にも言わずにそのまま自宅に持ち帰って自分で保管しておく
    4. 4ラベルが手書きで本物らしいので、総務のパソコンに接続して内容を印刷して確認する
    答えと解説

    正解: 1

    放置されたUSBメモリや無料ダウンロードなどの「餌」で誘い、マルウェアに感染させる手口をベイト攻撃と呼びます。興味を引くラベルは典型的な餌です。自分や総務のパソコンに接続するのは感染の危険があり、持ち帰るのも不適切です。接続せずに情報システム部門に届けるのが正しい対応です。

20. 問20
    カフェで、店名と同じ名前の無料Wi-Fiが2つ表示された。片方に接続して、会社のシステムにログインして決済処理をしようとしている。最も適切な判断を1つ選びなさい。
    1. 1パスワードなしで接続できる方が利便性が高く、通信も自動で暗号化されるので安全である
    2. 2偽のアクセスポイントや通信の盗聴の危険があるため、機密性の高い操作は避けるかVPNを使う
    3. 3店名と同じ名前なので両方とも本物であり、どちらに接続して決済しても安全である
    4. 4電波が強い方が本物なので、強い方に接続すれば決済処理をしても問題ない
    答えと解説

    正解: 2

    公共Wi-Fiには、暗号化されていない通信の盗聴や、店名に似せた偽アクセスポイントのリスクがあります。SSIDが店名と同じでも本物とは限らず、電波の強さやパスワードの有無は安全の根拠になりません。ログインや決済のような機密性の高い操作は避けるか、VPNを使うのが適切です。

21. 問21
    駅の掲示板に貼られたキャンペーンのポスターのQRコードを読み取ると、見慣れないURLのサイトが開き、会員登録を求められた。最も適切な対応を1つ選びなさい。
    1. 1読み取ったURLが長くて複雑なほど正規のサイトである可能性が高いので、そのまま登録する
    2. 2QRコードは画像なのでマルウェアとは無関係であり、どのサイトが開いても危険はない
    3. 3QRコードが上貼りされている可能性があるため、URLを確認し、公式サイトから直接アクセスし直す
    4. 4ポスターは公共の場所に貼られているので安全と判断し、求められた情報を入力する
    答えと解説

    正解: 3

    QRコードはリンク先が見た目で分からないため、偽サイトへの誘導やマルウェアのダウンロードに悪用されます。公共の場のQRコードは本物の上に偽物が貼られていることもあります。読み取り後のURLを確認し、見慣れないなら公式サイトから直接アクセスし直すのが適切です。公共の場所であることやURLの長さは安全の根拠になりません。

22. 問22
    ソーシャルエンジニアリングの手口と内容の対応として、最も適切なものを1つ選びなさい。
    1. 1プレテキストは、秘密を公開すると脅して金銭や情報を要求する手口
    2. 2ベイト攻撃は、電話や自動音声で本人確認を装って情報を聞き出す手口
    3. 3ブラックメールは、放置されたUSBメモリなどの餌で誘ってマルウェアに感染させる手口
    4. 4プレテキストは、上司の依頼やシステム保守などもっともらしい口実を作って情報を引き出す手口
    答えと解説

    正解: 4

    プレテキストは、もっともらしい口実（上司の依頼、システム保守など）を作って情報を引き出す手口です。秘密の公開で脅して要求するのはブラックメール、放置されたUSBメモリなどの餌で誘うのはベイト攻撃、電話や音声で本人確認を装うのはヴィッシングです。

23. 問23
    SNSやアプリのプライバシー設定に関する記述として、不適切なものを1つ選びなさい。
    1. 1初期設定は利用者に最も安全な状態になっているため、変更せずに使うのが最も安全である
    2. 2公開範囲、位置情報、連絡先へのアクセス許可は自分で管理し、意図しない相手に個人情報が渡るのを防ぐ
    3. 3初期設定は公開範囲が広いことが多いため、利用を始めるときに設定を確認する
    4. 4位置情報付きの投稿は自宅や勤務先の特定につながるため、必要がなければ無効にする
    答えと解説

    正解: 1

    SNSやアプリの初期設定は公開範囲が広いことが多く、利用者にとって最も安全な状態とは限りません。公開範囲、位置情報、連絡先へのアクセス許可を自分で確認・管理し、不要な位置情報は無効にするのが適切です。「初期設定のまま使うのが最も安全」という記述は不適切です。

24. 問24
    フィッシング詐欺に関する記述として、不適切なものを1つ選びなさい。
    1. 1メール本文のリンクからではなく、ブックマークや公式アプリからサービスにアクセスするのが対策になる
    2. 2日本語が不自然なメールだけがフィッシングであり、自然な日本語のメールは本物と判断してよい
    3. 3実在の企業や銀行を装ったメールやWebサイトで、IDやパスワード、カード番号を入力させて盗む
    4. 4生成AIの登場で、流暢で本物らしいメールや偽サイトを誰でも大量に作れるようになり、見分けが難しくなった
    答えと解説

    正解: 2

    フィッシングは実在の企業などを装って情報を盗む手口で、生成AIによって自然で誤りのない文面を大量に作れるようになりました。そのため「日本語が不自然なメールだけがフィッシング」という判断はもはや通用せず、不適切です。リンクからではなくブックマークや公式アプリからアクセスするのは有効な対策です。