この章で学ぶこと

前章では「何が脅威で、どんな弱点が悪用されるか」という土台を学びました。この章では、攻撃者が実際にどのような順序で行動するのか（攻撃プロセス）、そして侵入・拡散の各段階でどんな具体的な技術（認証・Webアプリケーションへの攻撃）が使われるのかを学びます。最後に、2027年シラバス案で最も強化された生成AI・サプライチェーンという新領域の脅威を扱います。用語数はこのコースで最も多い60語ですが、攻撃の流れに沿って積み上げれば迷いません。

サイバー犯罪のエコシステムと攻撃プロセス

現代のサイバー攻撃は、個人の愉快犯だけでなくダークウェブ上で分業化された犯罪エコシステムとして成立しています。攻撃ツールをサービスとして提供するRaaS(Ransomware as a Service)、侵入済みのアクセス権だけを他の攻撃者に転売するイニシャルアクセスブローカーが代表例です。政治的・思想的な主張のためにサイバー攻撃を行うハクティビズム、不正行為が起きる条件を「動機・機会・正当化」の3要素で説明する不正のトライアングルも、攻撃者側の動機を理解する視点として重要です。データを暗号化するだけでなく漏えいすると脅す二重恐喝(多重恐喝)は、ランサムウェア攻撃の主流になっています。

攻撃者の行動を時系列で捉える代表的なモデルがサイバーキルチェーンとMITRE ATT&CK(戦術・技術・手順(TTP))です。攻撃は一般に、対象を調査する偵察(フットプリンティング・ポートスキャンなど)から始まり、システムに入り込む初期侵入、より高い権限を奪う権限昇格、発見されても居座り続けるための永続化、社内ネットワークを横方向に移動するラテラルムーブメント、外部から遠隔で指令を出すC2(Command and Control)、最終的にデータを外部に持ち出す持ち出し(Exfiltration)という順で進行します。この一連の流れを知っていると、防御側がどの段階で検知・遮断すべきかを考えやすくなります（第6章で学ぶ検知・防御技術は、この各段階に対応しています）。

扱う用語（精選・15語）

• ダークウェブ／ハクティビズム／不正のトライアングル／RaaS(Ransomware as a Service)／イニシャルアクセスブローカー／二重恐喝(多重恐喝)
• サイバーキルチェーン／MITRE ATT&CK(TTP)／偵察／初期侵入／権限昇格／永続化／ラテラルムーブメント／C2(Command and Control)／持ち出し(Exfiltration)

認証・セッション・Webアプリケーションへの攻撃技術

パスワードを狙う攻撃には、あらゆる組み合わせを試すブルートフォース攻撃、1つのパスワードで多数のIDを試すリバースブルートフォース攻撃、事前計算した対応表を使うレインボーテーブル攻撃、他サービスから流出したID・パスワードの組み合わせを使い回すクレデンシャルスタッフィングがあります。多要素認証(MFA)の普及に対応し、大量のプッシュ通知を送りつけてユーザーに誤って承認させるMFA疲労攻撃(Push Bombing)という新しい手口も登場しています。ログイン後のセッション情報を奪うセッションハイジャック、事前に固定したセッションIDを使わせるセッション固定化攻撃(Session Fixation)、正規の通信を記録して再送するリプレイ攻撃も、認証まわりの代表的な脅威です。

Webアプリケーションへの攻撃は、データベースへの命令を注入するSQLインジェクションを筆頭に、HTTPヘッダに不正な値を注入するHTTPヘッダインジェクション、OSのコマンドを注入するOSコマンドインジェクション、悪意あるスクリプトを埋め込むクロスサイトスクリプティング(反射型・格納型・DOM型)、利用者に成りすまして意図しないリクエストを送らせるクロスサイトリクエストフォージェリ(CSRF)、非公開ファイルへ不正にアクセスするディレクトリトラバーサル、確保したメモリ領域を超えてデータを書き込むバッファオーバーフローと多岐にわたります。見た目には無関係な操作をさせるクリックジャッキング、正規のURLに見せかけて悪意あるサイトへ転送するオープンリダイレクトの悪用、Webサイトを閲覧しただけでマルウェアに感染させるドライブバイダウンロードもあわせて押さえておきましょう。

ネットワーク層の攻撃としては、不正に中継サーバーとして悪用される第三者中継(オープンリレー)、送信元IPアドレスを偽装するIPスプーフィング、DNSの応答を偽って誘導するDNSキャッシュポイズニングがあります。人を騙して情報を盗むフィッシング(スミッシングなど)、特定の組織・個人を狙う標的型攻撃、検索結果を悪用して誘導するSEOポイズニング、大量のリクエストでサービスを停止させるDDoS攻撃(マルチベクトル型など)、DNSサーバーなどを踏み台に応答を増幅させるリフレクション攻撃(DNSアンプ攻撃など)も代表的な脅威です。

扱う用語（精選・26語）

• ブルートフォース攻撃／リバースブルートフォース攻撃／レインボーテーブル攻撃／クレデンシャルスタッフィング／MFA疲労攻撃(Push Bombing)
• セッションハイジャック／セッション固定化攻撃(Session Fixation)／リプレイ攻撃
• SQLインジェクション／HTTPヘッダインジェクション／OSコマンドインジェクション／クロスサイトスクリプティング／クロスサイトリクエストフォージェリ(CSRF)／ディレクトリトラバーサル／バッファオーバーフロー
• クリックジャッキング／オープンリダイレクトの悪用／ドライブバイダウンロード
• 第三者中継(オープンリレー)／IPスプーフィング／DNSキャッシュポイズニング
• フィッシング／標的型攻撃／SEOポイズニング／DDoS攻撃／リフレクション攻撃

生成AI・ソフトウェアサプライチェーンという新領域の脅威

2027年シラバス案で最も強化されたのが、生成AIを悪用した脅威です。AIがマルウェア亜種の自動生成・フィッシング文面の巧妙化・脆弱性発見の効率化・偵察の自動化を通じてAIによる攻撃の高度化を引き起こし、本物そっくりの映像・音声を作るディープフェイク・音声クローンによるなりすましも実害が出始めています。AIモデル自体を狙う攻撃としては、悪意ある指示を紛れ込ませるプロンプトインジェクション(直接・間接)、安全対策を回避させるジェイルブレイク、人間には気づけない加工で誤認識させる敵対的サンプル(Adversarial Examples)、学習データを汚染するデータポイズニング、モデルの出力から学習データの情報を推定するモデルインバージョン攻撃・メンバーシップ推測攻撃、モデルの構造や重みを模倣・複製するモデル窃取(Model Extraction)、内部指示を盗み出すシステムプロンプトの窃取があります（対策は第8章「セキュリティ実装技術・評価」で扱います）。

もう1つの新領域が、開発・配布の流れそのものを狙うソフトウェアサプライチェーン攻撃です。ソフトウェアの更新配信を悪用するアップデート配信経路の悪用、開発環境を狙うビルド環境・CI/CDパイプラインの侵害、正規のライブラリ名に似せた偽パッケージを送り込む依存関係混同(Dependency Confusion)、正規パッケージ名に似た名前で誤ってインストールさせるタイポスクワッティング、オープンソースの管理者アカウントを乗っ取るOSSメンテナアカウントの乗っ取りがあります。そのほか、処理時間や消費電力の違いから内部情報を推定するサイドチャネル攻撃(タイミング攻撃・電力解析攻撃など)、ネットワークから物理的に切り離された環境を狙うエアギャップに対する攻撃、正規のサービス機能を悪用するサービス及びソフトウェアの機能の悪用(オープンリゾルバの悪用など)、最新版から古い脆弱なバージョンに戻させるダウングレード攻撃(バージョンロールバック攻撃)も、2027年シラバスで扱われる新しい脅威領域です。

扱う用語（精選・19語）

• AIによる攻撃の高度化／ディープフェイク・音声クローンによるなりすまし
• プロンプトインジェクション／ジェイルブレイク／敵対的サンプル(Adversarial Examples)／データポイズニング／モデルインバージョン攻撃／メンバーシップ推測攻撃／モデル窃取(Model Extraction)／システムプロンプトの窃取
• ソフトウェアサプライチェーン攻撃／ビルド環境・CI/CDパイプラインの侵害／依存関係混同(Dependency Confusion)／タイポスクワッティング／OSSメンテナアカウントの乗っ取り
• サイドチャネル攻撃／エアギャップに対する攻撃／サービス及びソフトウェアの機能の悪用／ダウングレード攻撃(バージョンロールバック攻撃)

AIで学ぶ

ここまでの用語は、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、比較表つきでさらに深く掘り下げて学習できます。コピーして使ってみましょう。

あなたは情報処理安全確保支援士（SC）試験の講師です。「攻撃者の行動プロセスと最新の攻撃技術」の範囲について、以下の用語を初学者向けに**関連づけながら**説明してください（単体の丸暗記より、攻撃の流れの中でどこに位置する用語かを理解したほうが記憶に定着しやすく、試験本番で紛らわしい選択肢を見分ける力もつくためです）。サイバーキルチェーン（偵察→初期侵入→権限昇格→永続化→ラテラルムーブメント→C2→持ち出し）のどの段階に関わる攻撃かを軸に整理し、用語同士の違いが分かる**比較表**を最後に付けてください。

【攻撃プロセス】ダークウェブ、ハクティビズム、不正のトライアングル、RaaS、イニシャルアクセスブローカー、二重恐喝、サイバーキルチェーン、MITRE ATT&CK、偵察、初期侵入、権限昇格、永続化、ラテラルムーブメント、C2、持ち出し(Exfiltration)
【認証・セッション・Web攻撃】ブルートフォース攻撃、リバースブルートフォース攻撃、レインボーテーブル攻撃、クレデンシャルスタッフィング、MFA疲労攻撃、セッションハイジャック、セッション固定化攻撃、リプレイ攻撃、SQLインジェクション、HTTPヘッダインジェクション、OSコマンドインジェクション、クロスサイトスクリプティング、CSRF、ディレクトリトラバーサル、バッファオーバーフロー、クリックジャッキング、オープンリダイレクトの悪用、ドライブバイダウンロード、第三者中継、IPスプーフィング、DNSキャッシュポイズニング、フィッシング、標的型攻撃、SEOポイズニング、DDoS攻撃、リフレクション攻撃
【AI・サプライチェーンの新領域】AIによる攻撃の高度化、ディープフェイク、プロンプトインジェクション、ジェイルブレイク、敵対的サンプル、データポイズニング、モデルインバージョン攻撃、メンバーシップ推測攻撃、モデル窃取、システムプロンプトの窃取、ソフトウェアサプライチェーン攻撃、ビルド環境・CI/CDパイプラインの侵害、依存関係混同、タイポスクワッティング、OSSメンテナアカウントの乗っ取り、サイドチャネル攻撃、エアギャップに対する攻撃、ダウングレード攻撃

このプロンプトが「サイバーキルチェーンのどの段階の攻撃か」という整理軸を指示しているのは、この章の用語数が60語と多く、単純な分類名だけでは記憶が定着しにくいためです。攻撃者の視点で「次に何をするか」という流れに乗せて理解すると、初見の用語でも「これは初期侵入の話だな」と見当がつくようになります。

章末チェック

最後に、この章で学んだ知識をアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、サイバー犯罪のエコシステムと攻撃プロセス（サイバーキルチェーン）、認証・Webアプリケーションへの攻撃技術、そして生成AI・サプライチェーンという新領域の脅威まで、SCが専門知識として問う「攻撃の全体像」を学びました。第1〜2章で押さえた脅威・攻撃プロセスの流れは、次章以降で学ぶ対策・実装技術を「どの段階を防ぐためのものか」という視点で理解する土台になります。

次章では、こうした脅威に組織としてどう向き合うか——情報セキュリティマネジメントの基本原則とリスクマネジメントを学びます。→ 第3章 リスクマネジメントと情報セキュリティの基本原則