情報セキュリティマネジメント試験 無料問題 1 / 10 ・ 分野1: セキュリティ
ある企業のサーバから顧客データが盗まれたが、社内のファイルは1つも暗号化されていなかった。その後、攻撃者から「支払わなければデータをリークサイトで公開する」と金銭を要求された。10大脅威2026 の解説で、この攻撃に当たるものはどれか。
- ノーウェアランサム
- DDoS 攻撃による脅迫
- ビジネスメール詐欺
- 内部不正による情報漏えい
正解と解説を見る
正解: A
正解の理由
10大脅威2026 の解説書［組織編］は、データの窃取や暗号化、窃取した情報の暴露予告を取引材料に金銭を要求する攻撃をランサム攻撃と呼び、重要情報を窃取してリークサイト等で公開すると脅す手口のうち、ランサムウェアを利用せず（データを暗号化せず）に同様の脅迫を行うものを「ノーウェアランサム」と説明している。暗号化されていないからランサム攻撃ではない、とは判断しない。脅迫の材料が「暗号化」から「暴露」に移っただけである。
違う選択肢
「内部不正による情報漏えい」… 内部不正は組織の内部の者による不正で、10大脅威では7位として別に挙がっている。外部の攻撃者が窃取したデータの公開を材料に金銭を要求しているので、ランサム攻撃の型に当たる。
「DDoS 攻撃による脅迫」… 解説書は、DDoS 攻撃やシステム破壊を仕掛けると脅す手口もランサム攻撃の脅迫の1つとして挙げているが、この場面の脅しの材料は窃取したデータの公開であり、DDoS 攻撃ではない。
「ビジネスメール詐欺」… ビジネスメール詐欺は、取引先や経営者になりすました虚偽のメールで偽の口座に振り込ませる攻撃である。データを盗んで公開を脅す手口ではない。
押さえどころ
暗号化・暴露・DDoS・利害関係者への暴露を組み合わせた「二重脅迫」「三重、四重脅迫」も確認されている。暗号化に備えたバックアップだけでは、窃取されたデータの公開という脅しには対応できない。