分野 E｜セキュリティ・倫理
SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃
今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-23-2 アプリケーションの不備を狙った攻撃』
最終更新
よく出る形
- バッファオーバーフロー（領域のあふれを突く攻撃）への有効な対策を選ぶ（3回分で1問）
- Web サービスを狙う攻撃の説明と名称の組合せを選ぶ（3回分で1問）
- 問われるとしたら：事例で、パスワードリスト攻撃（流出した ID の使い回し）を選ぶ形
- 問われるとしたら：SQL インジェクション（入力欄から DB を操作）などの a〜c の組合せの形
- 問われるとしたら：プロンプトインジェクション（AI への悪意ある指示）の説明を選ぶ形
- 問われるとしたら：DDoS 攻撃（多数の機器からの妨害）の説明を選ぶ形
覚えること
- 総当たり攻撃（ブルートフォース攻撃）：考えられる文字の組合せを全て試して、パスワードなどを破る
- パスワードリスト攻撃：他のサービスから流出した ID とパスワードの組で、ログインを試す
- SQL インジェクション：入力欄に SQL 命令文を入れ、データベースを不正に操作する
- SQL インジェクションの原因：入力値を SQL 文に安全な形で組み込めていないこと
- クロスサイトスクリプティング：出力処理の不備を突き、Web ページにスクリプトを埋め込む
- クロスサイトスクリプティングの被害者：サイトの運営者ではなく、そのページを閲覧する利用者
- バッファオーバーフロー：領域を超えるデータで不正に動かす攻撃。対策は修正プログラムの適用
- ドライブバイダウンロード：Web サイトを訪れただけで、マルウェアがインストールされる攻撃
- DoS 攻撃：大量の要求を送り、サーバやネットワークに過大な負荷をかけて使えなくする
- DDoS 攻撃：DoS 攻撃を、ボットに感染した多数の機器などから、同時に行う
- ゼロデイ攻撃：脆弱性の修正プログラムが提供される前に、その脆弱性を突く攻撃
- プロンプトインジェクション：生成 AI に異常な動作をさせる指示を与え、意図した応答をさせる攻撃
- 攻撃の準備（フットプリンティング）：標的の情報を集める下調べ。ポートスキャンは、開いているポート（通信の出入口）を調べる
- 参考：今のシラバスの用語例にある「辞書攻撃」「クリックジャッキング」は、案の用語例にない
- 参考：案では、総当たり攻撃、DDoS 攻撃、ゼロデイ攻撃が、別々の項目に分かれている
ひっかけ
- クロスサイトスクリプティングで被害を受けるのは、運営者ではなく閲覧者
- 総当たり攻撃は全ての組合せを試し、パスワードリスト攻撃は流出した組を使う
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
適切なものだけを全て挙げたものはどれか。
A 社の情報システム部は、Web サービスへの攻撃について、運用担当者向けの資料を作っている。
- a クロスサイトスクリプティングで被害を受けるのは、主にそのサイトの運営者であり、閲覧者は被害を受けない。
- b SQL インジェクションは、入力値を SQL 文に安全な形で組み込めない欠陥を突き、データベースを不正に操作する攻撃である。
- c ドライブバイダウンロードでは、利用者が Web サイトを訪れただけで、マルウェアがインストールされることがある。
正解：ウ b、c
ポイント
Web アプリケーションの不備を狙う攻撃について、a〜c を判定する問題です。
考え方と解き方
攻撃は、何の不備を突き、だれが被害を受けるかで区別します。攻撃の名前に「サイト」とあるので、被害者を運営者と思い込むと、a を適切としてしまいます。
- a は不適切です。クロスサイトスクリプティングで被害を受けるのは、運営者ではなく、そのページを閲覧する利用者です。
- b は適切です。SQL インジェクションは、入力値を SQL 文に安全な形で組み込めていないことが原因です。
- c は適切です。ドライブバイダウンロードは、Web サイトを訪れただけでマルウェアがインストールされる攻撃です。
- したがって、適切なのは b、c で、ウ です。
ほかの選択肢
- ア a は不適切で、c は適切です。a、b としているので、c が足りず、a が余分です。
- イ a、b、c の全てとしていますが、a は不適切なので、含められません。
- エ c は適切ですが、b も適切なので、c だけでは足りません。
覚えておくこと
- クロスサイトスクリプティングの被害者：サイトの運営者ではなく、そのページを閲覧する利用者
- SQL インジェクションの原因：入力値を SQL 文に安全な形で組み込めていないこと
- ドライブバイダウンロード：Web サイトを訪れただけで、マルウェアがインストールされる攻撃
（テーマ・覚えること）
この攻撃として、最も適切なものはどれか。
A 社の会員向けサービスで、さまざまな会員 ID に対して、ログインの試行が大量にあった。調べると、試行されたログイン情報の多くは、他社のサービスから流出したものと一致しており、一部は実際にログインに成功していた。
正解：エ パスワードリスト攻撃
ポイント
流出したログイン情報が使われた、不正ログインの攻撃名を選ぶ事例の問題です。
考え方と解き方
手口は、使う情報で見分けます。ログインの試行という点が同じなので、パスワードを破る攻撃のブルートフォース攻撃と混ぜると誤ります。
- 試行されたログイン情報の多くは、他社のサービスから流出したものと一致していました。
- 流出した ID とパスワードの組を使って、別のサービスへのログインを試す攻撃は、パスワードリスト攻撃です。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア ブルートフォース攻撃は、考えられる文字の組合せを全て試す攻撃です。流出した組を使う攻撃ではありません。
- イ SQL インジェクションは、入力欄に SQL 命令文を入れて、データベースを不正に操作する攻撃で、ログインの試行ではありません。
- ウ DDoS 攻撃は、多数の機器から大量の要求を送り、サービスを使えなくする攻撃で、不正ログインが目的ではありません。
覚えておくこと
- パスワードリスト攻撃：他のサービスから流出した ID とパスワードの組で、ログインを試す
- 総当たり攻撃（ブルートフォース攻撃）：考えられる文字の組合せを全て試して、パスワードなどを破る
（テーマ・覚えること）
プロンプトインジェクションに関する記述として、最も適切なものはどれか。
正解：ア 生成 AI に、禁止事項を回避させるような指示を与え、攻撃者が意図した応答をさせる攻撃である。
ポイント
生成 AI を狙う攻撃のうち、プロンプトインジェクションの説明を選ぶ問題です。
考え方と解き方
プロンプトは生成 AI への指示です。大量の通信やログインの試行、誤った回答の問題と、攻撃の対象や手口を取りちがえないようにします。
- プロンプトインジェクションは、生成 AI に異常な動作を引き起こさせる指示を与え、攻撃者が意図した応答を実行させる攻撃です。
- 禁止事項や制約を回避させる指示も、これに当たります。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ 大量のデータを送り付けてサービスを使えなくさせるのは、サービス妨害の攻撃です。AI に指示を与えて応答を操る攻撃ではありません。
- ウ ID とパスワードを総当たりで試すのは、ブルートフォース攻撃です。AI への指示を操作するものではありません。
- エ 誤りを含む回答をそのまま使う問題は、AI の出力の信頼性に関するもので、攻撃者の指示で応答を操る攻撃ではありません。
覚えておくこと
- プロンプトインジェクション：生成 AI に異常な動作をさせる指示を与え、意図した応答をさせる攻撃
（テーマ・覚えること）
DDoS 攻撃に関する記述として、最も適切なものはどれか。
正解：イ 多数の機器から標的のサービスに要求を送り続け、処理を追いつかなくさせることを目的とする。
ポイント
DDoS 攻撃の目的と手口を、ほかの攻撃と区別して選ぶ問題です。
考え方と解き方
DDoS 攻撃は、情報を盗むのではなく、サービスを止めるのが目的です。盗む攻撃の名前と取りちがえないようにします。
- DDoS 攻撃は、DoS 攻撃を、ボットに感染した多数の機器などから同時に行う攻撃です。
- 標的のサービスに要求を送り続けて処理を追いつかなくさせ、使えなくすることを目的とします。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア データベースに SQL 命令文を入れて情報を取り出すのは、SQL インジェクションの目的です。
- ウ 入手した ID とパスワードで本人になりすますのは、不正ログインの目的で、サービスを使えなくするものではありません。
- エ ブラウザ上でスクリプトを実行させて情報を盗むのは、クロスサイトスクリプティングの目的です。
覚えておくこと
- DDoS 攻撃：DoS 攻撃を、ボットに感染した多数の機器などから、同時に行う
- DoS 攻撃：大量の要求を送り、サーバやネットワークに過大な負荷をかけて使えなくする
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。