正解：ア
各選択肢の解説
アコードは伝えずに電話を切り、社内で公表された窓口へ自分から連絡して確かめる。
正解。相手が本物かどうかは、かかってきた電話の中では確かめられません。 こちらが知っている正規の窓口に自分から連絡し直せば、相手が用意した 名乗りや番号に頼らずに確認できます。
イ相手の氏名と所属を聞き、社員名簿に載っている人物ならコードを伝える。
誤り。実在の社員の名前と所属は、名刺やSNS、会社のWebサイトなどから 調べられるので、攻撃者が名乗ること自体は難しくありません。名簿と一致しても、 電話の相手が本人だという証明にはなりません。
ウ着信の表示が社内の番号であれば、本物と判断してコードを伝える。
誤り。発信者番号は偽装できる場合があり、表示だけで相手を確かめることは できません。社内の番号に見えると安心しがちですが、それを狙って 表示を偽る手口もあります。
エパスワードを聞かれていなければ、確認コードは伝えても問題ないと判断する。
誤り。コードが届いたのは、誰かがすでにパスワードを入力してログインを試みている からです。確認コードは本人確認の最後の手段なので、伝えればその場で ログインを許すことになります。
理解を深めるために
鍵を開けてほしい人に、鍵の番号を聞かれている
「家の防犯点検に来ました。念のため、金庫の暗証番号を教えてください」と言われたら、 相手が制服を着ていても教えないはずです。点検の担当者が暗証番号を知る必要はありません。 ソーシャルエンジニアリングは、このように相手を信用させる名乗りや状況を作り、 人に情報を差し出させる手口です。技術的な防御ではなく、人の判断の隙を突きます。
確認コードを求められた時点で、すでに攻撃は進んでいる
スマートフォンに確認コードが届くのは、誰かがIDとパスワードを入力し終え、 多要素認証の最後の段階に来たときです。つまり、この電話の相手は パスワードをすでに持っている可能性が高く、コードを聞き出せばログインが完了します。
本物かどうかを確かめる手順は、次のようになります。
- その電話の中では何も伝えず、いったん切る
- 社内ポータルや内線表など、自分で調べた正規の窓口に連絡し直す
- 本物の調査でなければ、情報システム部門に報告し、パスワードを変更する
相手の名乗り、知っている情報、着信の表示はどれも攻撃者が用意できます。 確かめる経路を相手に頼らず、こちらで選ぶことが要点です。
混同しやすいものとの違い
| 確かめ方 | 攻撃者が用意できるか |
|---|---|
| 自分から正規の窓口へ連絡し直す | できない（経路をこちらが選ぶ） |
| 名乗った氏名・所属が名簿と一致する | できる（公開情報から調べられる） |
| 着信の表示が社内の番号 | できる場合がある（番号の偽装） |
| パスワード以外なら伝えてよい | 確認コードこそ最後の鍵 |
試験では、相手の言い分の中で確かめる選択肢を外し、別の経路で確かめる選択肢を選びます。