情報セキュリティの脅威

問題

1. アクセス権の誤設定部門のメンバーが、取引先と共有するためにクラウドストレージへ顧客リストを置き、共有範囲を「リンクを知っている全員」にし…
2. ルートキット部門のPCから外部への不審な通信が続いていると報告があった。調査すると、侵入者が管理者権限を奪ってOSの一部を書き換え…
3. 内部統制の不備情報セキュリティ担当者が部門の脆弱性を洗い出したところ、次の4件が見つかった。このうち、内部統制の不備に当たるものはど…
4. 状況的犯罪予防情報セキュリティ担当者が内部不正の対策を、本人の性格や動機を変えることではなく、「犯行を難しくする」「見つかりやすくす…
5. ラテラルムーブメントマルウェア感染が判明した営業部のPCを調べたところ、攻撃者はそのPCに保存されていた管理者の認証情報を使い、社内のファ…
6. リプレイ攻撃社内の古い業務システムでは、端末がログインのたびにパスワードのハッシュ値を毎回同じ形で送っている。この値を盗聴した者が…
7. クロスサイトリクエストフォージェリ（CSRF）自社の会員サイトで、ログイン中の会員が外部の罠サイトを開いただけで、本人の意図しないパスワード変更が実行された。変更の…
8. DNSキャッシュポイズニング社員がブラウザに取引先の正しいURLを直接入力したのに、偽のサイトが表示された。端末に感染の形跡はなく、社内のキャッシ…
9. DDoS攻撃自社のECサイトが、多数の送信元から一斉に大量の通信を送りつけられ、自社のインターネット回線の帯域そのものが使い切られ…
10. フィッシング文面の巧妙化部門のセキュリティ教育で、怪しいメールの見分け方を教えてきた。攻撃者が生成AIを使い、フィッシングメールの文面が巧妙に…
11. プロンプトインジェクション（間接）社内の生成AIに、受信メールの要約と返信の下書きをさせ、メールの送信権限も与えていた。社外から届いたメールの本文に、見…
12. ソフトウェアサプライチェーン攻撃業務ソフトの入手は開発元の公式サイトに限り、電子署名の確認と更新の速やかな適用も徹底していた。ところが、開発元のビルド…
13. サービス及びソフトウェアの機能の悪用侵入した攻撃者が、マルウェアを持ち込まずに、OSに標準で備わる管理ツールで社内の端末を操作し、会社が契約しているクラウ…
14. マクロウイルス部門のメンバーが、取引先を名乗るメールに添付された表計算ファイルを開き、画面の案内に従って「コンテンツの有効化」を選ん…
15. ボットネット外部の機関から「貴社のIPアドレスから、複数の他組織のWebサーバへ大量の通信が一斉に送られている」と連絡があった。調…
16. キーロガー部門のPCがキーロガーに感染していたことが分かった。このPCでは、感染していた期間に社内システムやWebサービスへのロ…
17. ファイルレスマルウェア不審な外部通信が見つかったPCを、マルウェア対策ソフトの定義ファイルでフルスキャンしたが、何も検出されなかった。通信の…
18. トロイの木馬部門のメンバーが、業務の効率化をうたう無料ツールを入手して導入した。ツールは説明どおりに動いていたが、数日後、そのツー…
19. 割れ窓理論職場の巡回で、離席時の画面ロック忘れや、机に置いたままの社外秘の書類など、小さな規則違反が日常的に見過ごされていること…
20. RaaS脅威情報のレポートに「同じランサムウェアが、互いに関係のない複数の攻撃グループに使われている。開発者は自ら攻撃せず、実…
21. ハクティビズム自社が政府の政策に協力していると報じられた後、ある集団が「抗議」を掲げて攻撃を予告し、自社Webサイトのトップページを…
22. 情報セキュリティ10大脅威（1）部門の情報セキュリティ担当者が、社内教育の資料をIPAの「情報セキュリティ10大脅威 2026」（組織向け）に合わせて…
23. 物理的脅威部門の情報資産のリスクを洗い出す中で、「落雷による停電」「空調の故障によるサーバの停止」「部外者のサーバ室への侵入」の…
24. ビジネスメール詐欺（BEC）経理担当者に、長年の取引先の担当者から、過去のメールに返信する形で「振込先口座が変わった」と連絡が届いた。差出人アドレ…
25. 踏み台部門で起きた次の事案のうち、自組織が「踏み台」にされた事例として最も適切なものはどれか。
26. クラッキング悪意をもって他人のコンピュータやネットワークに侵入し、データの盗み出しや破壊、改ざんを行う行為を表す用語はどれか。
27. ディレクトリトラバーサル自社Webサイトの資料ダウンロード機能で、公開していないはずの設定ファイルが外部から取得されていた。アクセスログでは、…
28. OSコマンドインジェクション社内の管理用Webツールに、画面で入力したホスト名に対して疎通確認を行う機能がある。この機能は、入力値をそのまま文字列…
29. クリックジャッキング自社の会員サイトで、プロフィールが本人の意図に反して「全体に公開」へ変更される事例が相次いだ。会員はいずれも、ログイン…
30. ドライブバイダウンロード社員が業務で普段から見ている業界団体の正規のWebサイトを閲覧しただけで、ファイルを開くなどの操作をしないままPCがマ…
31. クロスサイトスクリプティングメールのリンクを開いた顧客に、自社ECサイトの正規のドメインのページで偽のログイン欄が表示され、入力したIDとパスワー…
32. IPスプーフィング社内の一部のサーバは、送信元IPアドレスが社内のアドレスであれば接続を許可する設定になっている。インターネットから送信…
33. 第三者中継（オープンリレー）自社のメールサーバが、迷惑メールの送信元として外部のブラックリストに登録された。調べると、サーバに侵入された形跡はなく…
34. 水飲み場型攻撃業界団体の会員向けWebサイトを、いつものブックマークから開いただけの複数の会員企業でマルウェア感染が見つかった。団体…
35. 中間者（Man-in-the-middle）攻撃出張中の社員が、ホテルの無料の無線LANから社内のWebメールを開いたところ、ブラウザにサーバ証明書に問題があるという…
36. 標的型攻撃採用担当者に、フリーメールのアドレスから応募希望者を名乗る質問が届いた。数回やり取りした後に「履歴書です」という添付フ…
37. リバースブルートフォース攻撃会員サイトは、同じIDで5回続けてログインに失敗するとロックする設定である。ログを調べると、数千のIDに同じパスワード…
38. クレデンシャルスタッフィング自社の通販サイトで複数の会員アカウントに不正ログインがあった。いずれも、他社サービスから流出したIDとパスワードの組と…
39. セッションハイジャック社内向けWebシステムは、ログイン前に発行したセッションIDをログイン後もそのまま使っている。攻撃者が用意したセッショ…
40. 辞書攻撃社内システムのパスワードは「8文字以上で英字と数字を含む」規則を満たしているが、点検すると「password1」「Su…
41. 総当たり攻撃（ブルートフォース攻撃）パスワードをハッシュ値で保存しているシステムから、ハッシュ値の一覧が盗まれた。ログイン画面には5回の失敗でロックする設…
42. シャドーIT部員が会社の承認を得ずに、個人で契約した外部のファイル共有サービスで取引先と資料をやり取りしていた。部員は「認証を取得…
43. 人的脆弱性宛先の選び間違いによるメールの誤送信が続く部門で、情報セキュリティ担当者は注意喚起と研修を繰り返してきたが、再発が止ま…
44. 不正利用部門が契約するクラウドサービスの管理者IDとパスワードが漏れ、第三者に仮想サーバを多数起動されて暗号資産の採掘に使われ…
45. エラー本番サーバのデータが全て削除された。調査の結果、正規の運用担当者が検証用サーバと取り違えて削除コマンドを実行したと分か…
46. 盗み見社員がカフェでVPN経由で社内に接続し、顧客一覧を開いて作業していた。後日、その画面を撮影した画像が出回り、写り方から…
47. 情報セキュリティ10大脅威（2）部門の研修で、IPAの「情報セキュリティ10大脅威 2026」を紹介する。その構成の説明として最も適切なものはどれか。
48. ソーシャルエンジニアリング情報システム部を名乗る人物から社員に電話があり「不正ログインを調査中なので、今スマートフォンに届いた確認コードを読み上…

この中分類の出題範囲

シラバスの小分類と項目です。数字は収録している問題数。

脅威と脆弱性

• 脅威の種類と動向11問
• マルウェア・不正プログラム6問
• 脆弱性3問
• 不正の動機・メカニズム4問

攻撃手法

• 攻撃のライフサイクルとフレームワーク1問
• 資格情報・セッション管理の不備を狙った攻撃6問
• アプリケーションの不備を狙った攻撃6問
• 信頼を悪用した攻撃6問
• サービスの妨害を狙った攻撃1問
• AIを悪用した攻撃1問
• AIシステムに対する攻撃1問
• サプライチェーンを狙った攻撃1問
• その他・特殊・高度な攻撃1問