サンプル問題（2022年12月） 問55
事例
A社は，SaaS形式の給与計算サービス（以下，Aサービスという）を法人向けに提供する，従業員100名のIT会社である。A社は，自社でもAサービスを利用している。A社の従業員は，WebブラウザでAサービスのログイン画面にアクセスし，Aサービスのアカウント（以下，Aアカウントという）の利用者ID及びパスワードを入力する。ログインに成功すると，自分の給与及び賞与の確認，パスワードの変更などができる。利用者IDは，個人ごとに付与した不規則な8桁の番号である。ログイン時にパスワードを連続して5回間違えるとAアカウントはロックされる。ロックを解除するためには，Aサービスの解除画面で申請する。
A社は，半年に1回，標的型攻撃メールへの対応訓練（以下，H訓練という）を実施しており，表1に示す20XX年下期のH訓練計画案が経営会議に提出された。
| 項目 | 内容 |
|---|---|
| 電子メールの送信日時 | 次の日時に，H訓練の電子メールを全従業員宛に送信する。 ・20XX年10月1日10時00分 |
| 送信者メールアドレス | Aサービスを装ったドメインのメールアドレス |
| 電子メールの本文 | 次を含める。 ・Aアカウントはロックされていること ・ロックを解除するには，次のURLにアクセスすること ・偽解除サイトのURL |
| 偽解除サイト | ・氏名，所属部門名並びにAアカウントの利用者ID及びパスワードを入力させる。 ・全ての項目の入力が完了すると，H訓練であることを表示する。 |
| 結果の報告 | 経営会議への報告予定日：20XX年10月31日 |
注記 偽解除サイトで入力された情報は，保存しない。A社は，従業員の氏名，所属部門名及びAアカウントの情報を個人情報としている。
経営会議では，表1の計画案はどのような標的型攻撃メールを想定しているのかという質問があった。
表1の計画案が想定している標的型攻撃メールはどれか。解答群のうち，最も適切なものを選べ。
正解：ウ 従業員を攻撃者が用意したWebサイトに誘導し，従業員の個人情報を不正に取得する標的型攻撃メール
ポイント
表1の訓練計画から、想定している標的型攻撃メールの目的を読み取る事例です。
考え方と解き方
表1の、メールの本文と、偽解除サイトの行を読みます。メールで誘導する先と、サイトで何を入力させるかが決め手です。ロックの解除や回数の上限など、本文の細かい話に引かれて、攻撃の目的を取り違えやすい所です。
- 表1で、メールは、A サービスを装った送信元から、アカウントがロックされたと知らせ、偽解除サイトのURLにアクセスさせます。誘導先は、攻撃者が用意したサイトです。
- 偽解除サイトでは、氏名、所属部門名、利用者ID、パスワードを入力させます。注記より、氏名、所属部門名、A アカウントの情報は個人情報です。つまり、従業員の個人情報を取得する攻撃を想定しています。
- したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 誘導先は攻撃者の偽解除サイトで、A サービス本体ではありません。ロックの解除を試すメールでもありません。
- イ 偽解除サイトは入力させた情報を受け取るだけで、A サービスにログインを試みないので、ロックの回数の上限は探れません。
- エ 誘導先は A サービスではなく偽解除サイトです。アクセスを集中させて利用不能にする内容は、表1にありません。
覚えておくこと
- 標的型攻撃メールは、誘導先で何を入力させるかを見ると、攻撃の目的が分かる
- 偽のログインや解除の画面で、利用者IDとパスワードなどを入力させるのは、情報の不正な取得が目的である
出典：情報セキュリティマネジメント試験 サンプル問題 科目B 問55