サイバー攻撃の手口とは？わかりやすく解説
DoS・SQLインジェクション・XSS・標的型攻撃・ソーシャルエンジニアリングなど、代表的な攻撃を学びます。
最初に考えてみよう
Webサイトや会社のシステムには、悪意ある人に狙われる弱点があることがあります。どうすれば、攻撃の手口を知り、被害を防ぐ対策を考えられるのでしょうか？
解説
1攻撃ラボ ― 撃ってみると違いが分かる
机の上の会社に、5つの手口を撃ち込んでみよう。どこを通って・どこに被害が出るかが手口ごとに違います。
机の上の会社
↑ 攻撃を選ぶと、通り道と被害が模型に出ます
2パスワードとソフトの弱点を狙う攻撃
パスワードを破る
- ブルートフォース攻撃（総当たり攻撃）
- あり得るパスワードのパターンを、順番に全部試す
- パスワードリスト攻撃
- 別のサイトから盗んだIDとパスワードの一覧を流用して、ログインを試す対策：サイトごとに別のパスワードにする
ソフトウェアの弱点（脆弱性）を突く
- バッファオーバーフロー
- 用意された記憶領域より長いデータを入力してあふれさせ、不正にプログラムを動かす対策：セキュリティパッチを当てる
- ゼロデイ攻撃
- 脆弱性が見つかってから、修正プログラムが出るまでのすきを突く
「全パターンを順に」→総当たり、「よそで盗んだ一覧を流用」→パスワードリスト。「修正プログラムの前」→ゼロデイです。
3Web・DNS・侵入後を狙う攻撃
Webサイト・閲覧する人を狙う
- ドライブバイダウンロード
- サイトを見ただけで、気づかないうちにブラウザの脆弱性を突いてマルウェアを送り込む
- SQLインジェクション
- 入力欄からデータベースへの不正な命令を送り込む対策：サニタイジング（入力の有害な文字列を無害な文字列に置き換える）
名前とIPアドレスの対応を狙う
- DNSキャッシュポイズニング
- DNSサーバの対応情報を書き換え、正しいURLを入れた人を偽サイトへ連れて行く
侵入したあと・組織を狙う
- バックドア
- 侵入した攻撃者が、次にまた入りやすいように仕掛ける裏口
- APT攻撃
- 特定の組織を、複数の手口を使って長期間にわたり攻撃し続ける
4人をだます手口と、攻撃の全体像
ソーシャルエンジニアリング＝技術を使わず、人のすきを突く
- 肩越しにパスワードを盗み見る（ショルダーハッキング）
- 社員になりすまして電話でパスワードを聞き出す
- くずかごから機密書類を拾う（トラッシング）
対策の例：機器を捨てるときは記憶装置を物理的に破壊して、ごみから情報を拾われないようにする。 暗号化やパッチは「技術」への対策なので、これには当たりません。
- サイバーキルチェーン
- 攻撃の段階を、偵察 → 攻撃 → 目的の実行 などのフェーズに分けて表したモデル
- ダークウェブ
- ふつうの検索エンジンでは見つからず匿名性が高い、ネット上のコンテンツ。攻撃や違法な取引に使われることがある
5これはどの攻撃？
- 別のサイトから盗まれたIDとパスワードの一覧を使って、自社サイトへのログインが大量に試された。
- ソフトの脆弱性が公表されたが、修正プログラムが出る前にその脆弱性を突かれた。
- 正しいURLを入力したのに偽サイトにつながった。DNSサーバの対応情報が書き換えられていた。
- Webサイトを見ただけで、気づかないうちにマルウェアが送り込まれた。
- 侵入した攻撃者が、次にまた入れるように設定を書き換えていた。
試験のポイント
ITパスポート試験での問われ方
各攻撃の名前と特徴（どこを・どう狙うか）の対応が問われる
間違えやすいポイント
- SQLインジェクションとXSSを混同する
- ソーシャルエンジニアリングを技術的攻撃と思い込む
関連用語
DoS攻撃、DDoS攻撃、SQLインジェクション、サニタイジング、クロスサイトスクリプティング、標的型攻撃、ソーシャルエンジニアリング
図解の内容を文章で読む
サイバー攻撃の手口をイメージでつかむ
攻撃には大きく分けて、システムを直接攻めるもの（DoS／DDoS、SQLインジェクション、XSS）と、人をだまして突破口にするもの（標的型攻撃、ソーシャルエンジニアリング）があります。DoSは大量アクセスでサービスを止め、SQLインジェクションは入力欄からデータベースへ不正な命令を送り込み、XSSは罠のスクリプトを仕込んで他人のブラウザで動かします。標的型攻撃は特定の組織を狙う巧妙ななりすましメール、ソーシャルエンジニアリングは技術でなく人の隙を突いて情報を聞き出す手口です。
たとえると：DoS＝店の入口に行列を作らせて他の客を入れない／SQLインジェクション＝注文票に余計な命令を書き足す／ソーシャルエンジニアリング＝店員のふりして鍵を聞き出す、といった“だまし”や“妨害”のイメージです。
サイバー攻撃は「どこを・どうやって狙うか」で整理すると覚えやすくなります。DoS攻撃は大量のアクセスを送りつけてサービスを止める攻撃で、多数の機器から一斉に行うとDDoS攻撃です。SQLインジェクションは、Webサイトの入力欄にデータベースへの不正な命令を紛れ込ませ、情報を盗んだり書きかえたりします。対策は、入力を命令として扱わないプレースホルダや、入力に含まれる特別な意味を持つ文字を無害な文字に置き換えるサニタイジングです。XSS（クロスサイトスクリプティング）は、Webページに罠のスクリプトを仕込み、閲覧した他人のブラウザ上で実行させる攻撃です（狙いがデータベース側かブラウザ側かが、SQLインジェクションとの違いです）。一方、技術ではなく人をだますのがソーシャルエンジニアリング（電話で聞き出す、肩越しにのぞくなど）で、特定の組織を狙った巧妙ななりすましメールで侵入するのが標的型攻撃です。試験は説明文から攻撃名を選ぶ形式が中心です。
押さえどころ
- DoS/DDoS＝大量アクセスでサービス停止
- SQLインジェクション/XSS＝入力やWebページを悪用
- 標的型/ソーシャルエンジニアリング＝人をだます
確認問題（4問）
確認問題は本サービスのオリジナル問題です。ログインなしで解けます（結果は保存されません）。
「サイバー攻撃の手口」の過去問（13問）
IPAが公開しているITパスポート試験の公開問題から、このテーマの問題を集めました。
あわせて覚える英略語
学習を記録して、合格まで続ける
教材と確認問題はこのページで全部無料で使えます。登録すると「サイバー攻撃の手口」の結果や習熟度が記録され、苦手分野の復習提案、試験日までの学習計画、合格準備度の見える化が使えます。最初の7日間は学習記録も無料です。