基本情報技術者試験 令和5年度 公開問題 科目B、全6問のうちの問6。
出典：令和5年度 基本情報技術者試験 公開問題 科目B 問6（図 1、図 2、図 3 は原本の画像を文字に書き起こし、箇条書きは 1 項目を 1 行にまとめた。注の番号の上付き文字は 1) と並べて書いた）
A 社は，
- ・採用予定者から郵送されてくる入社時の誓約書，前職の源泉徴収票などの書類を PDF ファイルに変換し，ファイルサーバに格納する。
- （省略）
委託先候補の
・B 業務だけに
・B 業務では，
- ・スキャン機能を使用する際は，従業員ごとに付与した利用者 ID とパスワードをパネルに入力する。
- ・スキャンしたデータを PDF ファイルに変換する。
- ・PDF ファイルを従業員ごとに異なる鍵で暗号化して，電子メールに添付する。
- ・スキャンを実行した本人宛てに電子メールを送信する。
- ・PDF ファイルが大きい場合は，PDF ファイルを添付する代わりに，自社の社内ネットワーク上に設置したサーバ（以下，B サーバという）1)に自動的に保存し，保存先の URL を電子メールの本文に記載して送信する。
- 注 1) B サーバにアクセスする際は，従業員ごとの利用者 ID とパスワードが必要になる。
A 社は，
- ・複合機のスキャン機能では，電子メールの差出人アドレス，件名，本文及び添付ファイル名を初期設定 1)の状態で使用しており，誰がスキャンを実行しても同じである。
- ・複合機のスキャン機能の初期設定情報はベンダーの Web サイトで公開されており，誰でも閲覧できる。
- 注 1) 複合機の初期設定は C 社の情報システム部だけが変更可能である。
そこで，
設問 対策が
- アB 業務に
従事する 従業員が， 攻撃者からの 電子メールを 複合機からの ものと 信じて本文中に ある URL を クリックし， フィッシングサイトに 誘導される。 その 結果， A 社の 採用予定者の 個人情報が 漏えいする。 - イB 業務に
従事する 従業員が， 複合機から 送信される 電子メールを スパムメールと 誤認し， 電子メールを 削除する。 その 結果， 再スキャンが 必要と なり， B 業務が 遅延する。 - ウ攻撃者が，
複合機から 送信される 電子メールを 盗聴し， 添付ファイルを 暗号化して 身代金を 要求する。 その 結果， A 社が 復号鍵を 受け取る ために 多額の 身代金を 支払うことになる。 - エ攻撃者が，
複合機から 送信される 電子メールを 盗聴し， 本文に 記載されている URL を 使って B サーバに アクセスする。 その 結果， A 社の 採用予定者の 個人情報が 漏えいする。
答えと解説を開く
正解はアです。
図 3 の
ほかの選択肢が違う理由
- イスパムと
誤認して 消すのは 業務が 遅れる 問題で、 初期設定が 公開されている こととは 関係しません。 初期設定を 変えても 防げる 危険では ありません。 - ウ添付の
PDF は 従業員ごとに 異なる 鍵で 暗号化されています。 また、 盗聴した メールの 添付を 暗号化しても、 A 社の 手元の ファイルは 使えなくなりません。 初期設定とも 関係しません。 - エB サーバへの
アクセスには 従業員ごとの 利用者 ID と パスワードが 要るので、 URL だけでは 入れません。 また、 URL が 盗聴される 危険は、 メールの 差出人や 件名の 初期設定を 変えても 減りません。
仕組み
初期設定 (デフォルト) の
フィッシングは、