攻撃手法
このノートの問いがそのまま復習カードになり、忘れかけたころに出題されます。
シラバス案 Ver.0.1 の小分類 6-23-2「攻撃手法」（大分類 6：セキュリティ／中分類 23：情報セキュリティの脅威）。
2026-09-26 にシラバス本文と突合済み。
0. 何を押さえるか
攻撃手法は数が多いので、シラバスの項目どおり何の不備を狙うかで束ねてください。
| 狙うところ | 攻撃 |
|---|---|
| 資格情報（ID・パスワード） | 総当たり攻撃、パスワードリスト攻撃 |
| アプリケーションの不備 | SQL インジェクション、クロスサイトスクリプティング、バッファオーバーフロー、ドライブバイダウンロード |
| 信頼（相手や通信を信じること） | 中間者攻撃、MITB 攻撃、第三者中継、フィッシング、標的型攻撃 |
| サービスを止める | DoS 攻撃、DDoS 攻撃 |
| AI を悪用する | 巧妙化したなりすまし、マルウェアの亜種の生成、ディープフェイク |
| その他 | ゼロデイ攻撃、プロンプトインジェクション、攻撃の準備 |
2027 年度のシラバスで新しく立った項目が AI を悪用した攻撃です。
「AI を使って攻撃がうまくなる」話と、「AIそのものが狙われる」話（プロンプトインジェクション）を
混ぜないでください。
1. 資格情報を狙った攻撃
根拠: シラバス 6-23-2
総当たり攻撃とパスワードリスト攻撃の違いは？
| どう破るか | 何で防ぐか | |
|---|---|---|
| 総当たり攻撃（ブルートフォース攻撃） | 考えうる文字の組合せをすべて試す | 長く複雑なパスワード、一定回数失敗したらロック |
| パスワードリスト攻撃 | 別のサイトから漏れた ID とパスワードの組をそのまま試す | パスワードを使い回さない |
パスワードリスト攻撃は、使い回しをしていなければ通用しない。
どれほど複雑なパスワードでも、他所で漏れて使い回していれば破られる。
2. アプリケーションの不備を狙った攻撃
根拠: シラバス 6-23-2
SQL インジェクションとクロスサイトスクリプティングの違いは？
| 何をするか | 被害に遭うのは | |
|---|---|---|
| SQLインジェクション | 入力欄にデータベースへの命令を紛れ込ませ、情報を抜き出す・書き換える | サーバのデータベース |
| クロスサイトスクリプティング | 脆弱なサイトに悪意のあるスクリプトを埋め込み、閲覧者のブラウザで実行させる | サイトを見た利用者 |
どちらも原因は入力された値をそのまま処理してしまうこと。
バッファオーバーフローとドライブバイダウンロードの違いは？
| 何をするか | |
|---|---|
| バッファオーバーフロー | 想定を超える長さのデータを送り込み、本来使われない領域を上書きして不正な処理をさせる |
| ドライブバイダウンロード | 改ざんされたサイトを閲覧しただけで、マルウェアを勝手にダウンロード・実行させる |
ドライブバイダウンロードは、利用者が何もダウンロードしたつもりがないのが特徴。
ブラウザやプラグインを最新にしておくことが対策になる。
3. 信頼を悪用した攻撃
根拠: シラバス 6-23-2
中間者攻撃と MITB 攻撃の違いは？
| どこに割り込むか | |
|---|---|
| 中間者（Man-in-the-middle）攻撃 | 通信経路の途中に入り込み、盗聴・改ざんする |
| MITB（Man-in-the-browser）攻撃 | マルウェアで利用者のブラウザの中に入り込み、送信内容を書き換える |
MITB は端末の中で、暗号化される前に書き換えるため、
通信を暗号化していても防げない。
ネットバンキングの振込先をすり替える手口が代表例。
第三者中継（オープンリレー）とは？
設定の甘いメールサーバが、無関係な第三者どうしのメールを中継してしまうこと
攻撃者はこれを踏み台にして、迷惑メールを大量に送る。
自分のサーバが加害者側になるのが要点——
送信元として疑われ、他の組織からメールを受け取ってもらえなくなることもある。
フィッシングと標的型攻撃の違いは？
| 誰を狙うか | 何をするか | |
|---|---|---|
| フィッシング | 不特定多数 | 実在の企業を装ったメールや SMS で偽サイトへ誘導し、ID・パスワードやカード番号を入力させて盗む |
| 標的型攻撃 | 特定の組織・個人 | その組織向けに作り込んだメールなどで、時間をかけて侵入する |
標的型攻撃は、取引先や公的機関を装い、業務に関係ありそうな内容で送られてくる。
ばらまき型より見抜きにくい。
4. サービスの妨害を狙った攻撃
根拠: シラバス 6-23-2
DoS 攻撃と DDoS 攻撃の違いは？
| 何をするか | |
|---|---|
| DoS攻撃（Denial of Service：サービス妨害） | 大量の要求を送りつけ、サービスを利用できなくする |
| DDoS攻撃（Distributed DoS） | 多数の機器から分散して同じことを行う |
DDoS ではボットに感染した多数の端末が使われるため、
送信元を 1 つ遮断しても止まらない。
どちらも狙うのは可用性（使いたいときに使えること）。
5. AI を悪用した攻撃
根拠: シラバス 6-23-2
生成 AI は、攻撃者にとっても便利な道具です。
新しい攻撃が生まれたというより、既存の攻撃が安く・うまくなったと捉えてください。
生成 AI によって、既存の攻撃はどう変わったか？
標的型攻撃・フィッシング・なりすましの巧妙化
- 不自然な日本語という見抜く手がかりが消えた
- 標的に合わせた文面を、大量に・安く作れる
マルウェア（バリアント（亜種））の生成
- 既存のマルウェアを少しずつ変えた亜種（バリアント）を大量に作れる
- 既知の特徴と照合する検出方法（パターンマッチング）をすり抜けやすくなる
「文面が自然だから本物」とは、もう判断できない。
ディープフェイクとは？ どんな攻撃に使われるか？
AI で作った、本物と見分けがつきにくい偽の映像・音声・画像
- 経営者の声や顔をまねて、電話やビデオ会議で送金を指示する（なりすまし）
- 偽の発言動画を広め、評判を落とす・世論を操作する
声や顔が本人そっくりでも、本人とは限らない。
重要な指示は、決めておいた別の経路で確かめる。
6. その他・特殊・高度な攻撃
根拠: シラバス 6-23-2
ゼロデイ攻撃とは？ なぜ防ぎにくいか？
脆弱性が見つかってから、修正プログラムが提供されるまでの間に行われる攻撃
修正手段がまだ存在しないので、
更新を怠っていなくても被害を受けうる。
対策は、1 つの対策に頼らず何重にも守ること
（振る舞いの監視、権限の最小化、ネットワークの分離）。
プロンプトインジェクションとは？
生成 AI への入力（プロンプト）に細工した指示を紛れ込ませ、
開発者が想定していない動作をさせる攻撃
- 設定された制限を無視させる
- 内部の指示や、扱っている機密情報を答えさせる
- AI が読み込む Web ページや文書に指示を隠しておく手口もある
AI を使って攻撃するのではなく、AI そのものを乗っ取る攻撃。
攻撃の準備段階では何が行われるか？
| 何をするか | |
|---|---|
| フットプリンティング | Web サイト・SNS・公開情報などから、組織や人、機器の情報を集める |
| ポートスキャン | 相手の機器に順に接続を試み、どのポートが開いているか（どのサービスが動いているか）を調べる |
攻撃の前には偵察がある。
不要なポートを閉じる、公開する情報を絞ることが対策になる。