正解：イ
各選択肢の解説
ア公開された投稿をたどり、従業員がSNSで送受信した非公開のメッセージを傍受する。
誤り。これは盗聴の説明です。SNSから情報を得る点は同じなので混同しますが、 公開された投稿を読むことと、通信の途中でデータを読み取ることは別の行為です。 公開情報を見ただけでは、非公開のやり取りまでは読めません。
イ公開された情報を組み合わせ、上司や取引先を装った本物らしい連絡を従業員に送る。
正解。部署や上司の名前、出張の予定が分かれば、 「出張中の上司からの急ぎの依頼」のような、疑いにくい連絡を作れます。 SNSの公開情報は、人をだますための材料として悪用されます。
ウ公開された所属と氏名を入力し、勤務先の社内システムに本人としてログインする。
誤り。これは不正アクセスの説明です。本人の情報を使う点で紛らわしいですが、 所属や氏名は本人であることを確かめる認証情報ではありません。 ログインにはIDとパスワードなどが別に必要で、投稿だけでは入れません。
エ公開された投稿の内容を、従業員本人のアカウントから別の文面に書き換える。
誤り。これは改ざんの説明です。投稿が悪用される点は同じですが、 書き換えるには本人のアカウントを乗っ取る必要があります。 投稿は読めても、書き換える権限までは手に入りません。
理解を深めるために
断片を集めると、だますための台本になる
勤務先、部署、上司の名前、出張の予定。一つひとつは秘密というほどの情報では ありません。しかし組み合わせると、「部長は今週出張で不在」「部下の名前は誰」 という、社内の人しか知らないはずの事情が再現できます。
SNSの悪用で最も多いのは、この公開情報を、人をだますための材料にすることです。 攻撃者は、技術を使って侵入する前に、まずSNSで下調べをします。
公開情報で「できること」と「できないこと」
公開された投稿を読むだけでは、システムに入ることも、 通信をのぞくことも、投稿を書き換えることもできません。 できるのは、相手に信じてもらえる話を組み立てることです。
- 上司や取引先を装い、実在の部署名や予定に触れた連絡を送る
- 「出張中で電話に出られない」など、本人に確認しにくい状況を口実にする
- 本物らしさを高めて、送金や認証情報の入力、添付ファイルを開く操作へ誘導する
つまり、SNSの公開情報は、なりすましやソーシャルエンジニアリングの 成功率を上げるために使われます。情報そのものが盗まれるのではなく、 信用を得るための足がかりにされる点が、この脅威の特徴です。
投稿を基にできるかどうか
| 行為 | 脅威の種類 | 公開された投稿だけでできるか |
|---|---|---|
| 関係者を装った本物らしい連絡を送る | SNSの悪用 | できる |
| 非公開のメッセージを傍受する | 盗聴 | できない（通信経路への介入が必要） |
| 社内システムにログインする | 不正アクセス | できない（認証情報が必要） |
| 本人の投稿を書き換える | 改ざん | できない（アカウントの乗っ取りが必要） |
試験では、公開情報から直接できることと、別の手段を重ねないとできないことを 切り分けます。対策は、公開範囲を絞ることと、業務に関わる情報を投稿しないことです。