2026年版・3-12

情報セキュリティ：脅威と攻撃手法の一問一答

基本情報技術者試験科目A「技術要素」から、情報セキュリティ：脅威と攻撃手法に関する4択問題を10問。「答えと解説を見る」を開くと、正解とその理由がその場で読めます。会員登録は不要です。

この分野の演習

全10問／解説つき・基本無料

アプリ形式で解く（全600問）技術要素の要点解説を読む

問題

上から順に解いてみてください。答えは各問の下で確認できます。科目Aの本試験と同じく、4択で出題しています。

問13-12

Webアプリケーションの入力欄に、データベースを操作する命令文の一部を入力して、不正にデータを取得したり改ざんしたりする攻撃はどれか。

①DoS攻撃
②クロスサイトスクリプティング
③ブルートフォース攻撃
④SQLインジェクション

答えと解説を見る

正解 ④SQLインジェクション

解説
SQLインジェクションは、Webアプリケーションの入力欄などに、SQL（データベースを操作する言語）の命令文の一部を入力し、アプリケーションが組み立てるSQL文の意味を書き換えて、データベースの情報を不正に取得・改ざん・削除する攻撃です。入力された値をSQL文に直接つなげて組み立てているアプリケーションが狙われます。対策として、プレースホルダ（バインド機構）を使ってSQL文を組み立てる方法が有効です。

他の選択肢が不適切な理由
・クロスサイトスクリプティング：Webページに悪意のあるスクリプトを埋め込み、閲覧者のブラウザ上で実行させる攻撃です。
・DoS攻撃：大量のアクセスなどでサーバに負荷をかけ、サービスを提供できない状態にする攻撃です。
・ブルートフォース攻撃：パスワードとして考えられる全ての文字の組合せを、総当たりで試す攻撃です。

覚え方のポイント
「インジェクション＝注入」。SQLの命令を注入してデータベースを操る攻撃です。「データベースが狙われたらSQLインジェクション、ブラウザでスクリプトが動いたらXSS」と区別しましょう。

問23-12

攻撃者が、脆弱性のあるWebサイトに悪意のあるスクリプトを埋め込み、そのページを閲覧した利用者のWebブラウザ上でスクリプトを実行させて、Cookieなどの情報を盗む攻撃はどれか。

①SQLインジェクション
②ディレクトリトラバーサル
③クロスサイトスクリプティング
④DNSキャッシュポイズニング

答えと解説を見る

正解 ③クロスサイトスクリプティング

解説
クロスサイトスクリプティング（XSS）は、利用者が入力した内容をそのまま画面に表示してしまうWebサイトの脆弱性を利用して、悪意のあるスクリプトを埋め込み、そのページを見た利用者のブラウザ上で実行させる攻撃です。Cookieの情報を盗まれてなりすましに使われたり、偽の入力画面を表示されたりする被害があります。対策は、画面に出力する文字を無害な形に変換するエスケープ処理です。

他の選択肢が不適切な理由
・SQLインジェクション：SQLの命令を注入して、データベースを不正に操作する攻撃です。
・ディレクトリトラバーサル：ファイル名に「../」などを含めて、本来アクセスできないディレクトリのファイルを読み出す攻撃です。
・DNSキャッシュポイズニング：DNSサーバに偽の情報を覚えさせ、利用者を偽のサイトに誘導する攻撃です。

覚え方のポイント
「XSS＝利用者のブラウザでスクリプトを実行させる」。攻撃の被害者がWebサイトの閲覧者である点が特徴です。

問33-12

利用者がログインしたままのWebサイトに対して、攻撃者が用意した罠のページを経由して、利用者が意図していない処理（投稿や送金など）を実行させる攻撃はどれか。

①セッションハイジャック
②クロスサイトスクリプティング
③クロスサイトリクエストフォージェリ
④中間者攻撃

答えと解説を見る

正解 ③クロスサイトリクエストフォージェリ

解説
クロスサイトリクエストフォージェリ（CSRF）は、利用者があるWebサイトにログインしたままの状態で、攻撃者が用意した罠のページを閲覧させ、そのWebサイトに対する処理の要求を、利用者のブラウザから勝手に送らせる攻撃です。Webサイトは正規の利用者からの要求と区別できないため、掲示板への書込みや設定の変更などが行われてしまいます。対策として、処理の要求ごとに推測できない値（トークン）を確認する方法があります。

他の選択肢が不適切な理由
・クロスサイトスクリプティング：悪意のあるスクリプトを利用者のブラウザで実行させる攻撃です。
・セッションハイジャック：セッションIDなどを盗んで、正規の利用者になりすます攻撃です。
・中間者攻撃：通信の途中に割り込んで、通信内容を盗聴したり改ざんしたりする攻撃です。

覚え方のポイント
「CSRF＝リクエストの偽造（フォージェリ）」。利用者本人の操作を装って、意図しない処理を実行させる攻撃です。

問43-12

多数のコンピュータから一斉に大量の通信を特定のサーバに送りつけ、サービスを提供できない状態にする攻撃はどれか。

①標的型攻撃
②DDoS攻撃
③ゼロデイ攻撃
④フィッシング

答えと解説を見る

正解 ②DDoS攻撃

解説
DoS攻撃は、サーバに大量の通信を送りつけるなどして、サービスを提供できない状態にする攻撃です。DDoS攻撃（分散型サービス妨害攻撃）は、マルウェアに感染させて乗っ取った多数のコンピュータ（ボットネット）などを使い、多くの場所から一斉に攻撃するもので、送信元が分散しているため防御が難しくなります。情報セキュリティの三要素のうち、主に可用性を損なう攻撃です。

他の選択肢が不適切な理由
・フィッシング：実在の企業などを装った偽のメールや偽のWebサイトで、IDやパスワードなどをだまし取る攻撃です。
・ゼロデイ攻撃：脆弱性が発見されてから、修正プログラムが提供されるまでの間に、その脆弱性を突く攻撃です。
・標的型攻撃：特定の組織や個人を狙って、業務を装ったメールなどでマルウェアに感染させる攻撃です。

覚え方のポイント
「DoS＝1か所から」「DDoS＝多数（Distributed＝分散）から」。どちらもサービスを止める（可用性を損なう）攻撃です。

問53-12

他のWebサービスから流出したIDとパスワードの組を使って、別のWebサービスへのログインを試みる攻撃はどれか。

①パスワードリスト攻撃
②辞書攻撃
③ブルートフォース攻撃
④リバースブルートフォース攻撃

答えと解説を見る

正解 ①パスワードリスト攻撃

解説
パスワードリスト攻撃（リスト型攻撃）は、どこかのWebサービスから流出したIDとパスワードの組の一覧（リスト）を使って、別のWebサービスへの不正ログインを試みる攻撃です。複数のサービスで同じIDとパスワードを使い回している利用者が被害に遭います。対策として、パスワードを使い回さないこと、多要素認証を使うことが有効です。

他の選択肢が不適切な理由
・辞書攻撃：辞書に載っている単語や、よく使われる文字列をパスワードとして順に試す攻撃です。
・ブルートフォース攻撃：1つのIDに対して、考えられる全ての文字の組合せを総当たりで試す攻撃です。
・リバースブルートフォース攻撃：よく使われるパスワードを1つに固定し、IDの方を次々に変えて試す攻撃です。

覚え方のポイント
パスワードへの攻撃は「何を固定して何を変えるか」で区別します。「リスト＝流出した組をそのまま使う」「総当たり＝IDを固定しパスワードを変える」「逆総当たり＝パスワードを固定しIDを変える」。

問63-12

よく使われるパスワードを1つ決めて固定し、IDの方を次々に変えながらログインを試みる攻撃はどれか。この攻撃は、同じIDでのログイン失敗の回数でアカウントを止める対策では防ぎにくい。

①パスワードリスト攻撃
②ブルートフォース攻撃
③レインボーテーブル攻撃
④リバースブルートフォース攻撃

答えと解説を見る

正解 ④リバースブルートフォース攻撃

解説
リバースブルートフォース攻撃（逆総当たり攻撃）は、「123456」のようなよく使われるパスワードを1つに固定し、IDの方を次々に変えてログインを試す攻撃です。1つのIDに対しては1回しか試さないため、「同じIDで一定回数失敗したらアカウントをロックする」という対策が働きにくいのが特徴です。

他の選択肢が不適切な理由
・ブルートフォース攻撃：IDを固定して、パスワードを総当たりで試す攻撃です。アカウントのロックで防ぎやすい攻撃です。
・パスワードリスト攻撃：他のサービスから流出したIDとパスワードの組を使う攻撃です。
・レインボーテーブル攻撃：パスワードのハッシュ値から、あらかじめ計算しておいた表を使って、元のパスワードを効率よく割り出す攻撃です。

覚え方のポイント
「リバース＝逆（パスワードを固定し、IDを変える）」。推測されやすいパスワードを使わせないことが対策になります。

問73-12

感染したコンピュータのファイルを勝手に暗号化して使えない状態にし、元に戻すことと引換えに金銭を要求するマルウェアはどれか。

①スパイウェア
②キーロガー
③ボット
④ランサムウェア

答えと解説を見る

正解 ④ランサムウェア

解説
ランサムウェアは、感染したコンピュータのファイルを暗号化したり画面をロックしたりして使えなくし、元に戻すことと引換えに身代金（ransom）を要求するマルウェアです。近年は、データを盗んだうえで「公開する」と脅す二重の脅迫の手口も見られます。対策の基本は、ネットワークから切り離して保管したバックアップを取っておくことです。

他の選択肢が不適切な理由
・スパイウェア：利用者に気づかれないように、個人情報や操作の履歴などを収集して外部に送るマルウェアです。
・ボット：感染したコンピュータを、外部の攻撃者の指令で遠隔操作できるようにするマルウェアです。DDoS攻撃などに使われます。
・キーロガー：キーボードの入力を記録するソフトウェアで、パスワードなどを盗むために悪用されます。

覚え方のポイント
「ランサム＝身代金」。対策は「オフラインのバックアップ」と「修正プログラムの適用」。身代金を払っても元に戻る保証はありません。

問83-12

システムの管理者を装って電話をかけ、利用者からパスワードを聞き出すなど、技術ではなく人の心理や行動のすきを突いて情報を盗む手口はどれか。

①サイドチャネル攻撃
②ゼロデイ攻撃
③ソーシャルエンジニアリング
④中間者攻撃

答えと解説を見る

正解 ③ソーシャルエンジニアリング

解説
ソーシャルエンジニアリングは、コンピュータの技術ではなく、人の心理的なすきや行動のミスにつけ込んで、パスワードなどの重要な情報を盗み出す手口の総称です。管理者や上司を装った電話、肩越しに画面やキー入力をのぞき見るショルダーハッキング、ごみ箱をあさって書類を探すトラッシングなどがあります。

他の選択肢が不適切な理由
・ゼロデイ攻撃：修正プログラムが提供される前の脆弱性を突く攻撃です。
・サイドチャネル攻撃：暗号処理にかかる時間や消費電力などを測定して、暗号の鍵などの秘密の情報を推測する攻撃です。
・中間者攻撃：通信の途中に割り込んで、盗聴や改ざんを行う攻撃です。

覚え方のポイント
「ソーシャルエンジニアリング＝人をだます（技術を使わない）」。対策は、教育や、電話でパスワードを教えないといった運用のルールづくりです。

問93-12

ソフトウェアの脆弱性が発見されてから、開発者が修正プログラムを提供するまでの間に、その脆弱性を突いて行われる攻撃はどれか。

①水飲み場型攻撃
②ゼロデイ攻撃
③辞書攻撃
④DoS攻撃

答えと解説を見る

正解 ②ゼロデイ攻撃

解説
ゼロデイ攻撃は、ソフトウェアの脆弱性が見つかってから、修正プログラム（パッチ）が提供されて対策が可能になるまでの期間（対策の日を1日目とすると、それより前の0日目）に、その脆弱性を突いて行われる攻撃です。修正プログラムがまだないため防ぐのが難しく、多層防御や振る舞いの検知などで被害を抑えます。

他の選択肢が不適切な理由
・水飲み場型攻撃：標的の組織の人がよく閲覧するWebサイトを改ざんし、訪れた人をマルウェアに感染させる攻撃です。
・辞書攻撃：辞書に載っている単語などをパスワードとして順に試す攻撃です。
・DoS攻撃：大量の通信などでサービスを提供できない状態にする攻撃です。

覚え方のポイント
「ゼロデイ＝修正プログラムがまだない（対策の0日目）」。修正プログラムが出たら、速やかに適用することが基本の対策です。

問103-12

DNSサーバに偽の情報を記憶させ、利用者が正しいドメイン名でアクセスしても、攻撃者が用意した偽のWebサイトに誘導されるようにする攻撃はどれか。

①DNSキャッシュポイズニング
②DNSリフレクション攻撃
③ドライブバイダウンロード
④SQLインジェクション

答えと解説を見る

正解 ①DNSキャッシュポイズニング

解説
DNSキャッシュポイズニングは、DNSサーバが一時的に記憶している情報（キャッシュ）に、偽のドメイン名とIPアドレスの対応を覚えさせる攻撃です。その結果、利用者が正しいドメイン名を入力しても、偽のIPアドレスを教えられて、攻撃者の偽サイトに誘導されてしまいます。対策として、DNSの応答が正しいことを電子署名で確かめるDNSSECがあります。

他の選択肢が不適切な理由
・DNSリフレクション攻撃：送信元を偽った問合せをDNSサーバに大量に送り、その大きな応答を標的に送りつけるDDoS攻撃の一種です。
・ドライブバイダウンロード：Webサイトを閲覧しただけで、利用者が気づかないうちにマルウェアをダウンロード・実行させる攻撃です。
・SQLインジェクション：SQLの命令を注入して、データベースを不正に操作する攻撃です。

覚え方のポイント
「ポイズニング＝毒を盛る」。DNSのキャッシュに偽情報という毒を混ぜる攻撃で、対策はDNSSECです。

基本情報技術者（科目A）の対策問題（全600問）に戻る

非公式の資格試験対策サイトです。独立行政法人情報処理推進機構（IPA）とは一切関係ありません。

※本ページでは、アクセス解析（Googleアナリティクス）と、広告の配信・成果の計測（A8.net）のためにCookie等を利用し、閲覧に関する情報をGoogle LLC・株式会社ファンコミュニケーションズへ送信しています。詳しくはプライバシーポリシーをご覧ください。

※本ページの問題・解説は、生成AI（人工知能）を活用して作成しています。