この記事は、CompTIA Security+の「脅威・脆弱性・攻撃手法」分野の演習問題を、1問ずつ徹底解説つきでお届けするシリーズ第2弾です。マルウェアの種類、フィッシングの手口、代表的な攻撃を、実例を交えながら整理します。
解説では、正解の理由だけでなく、不正解の選択肢がなぜ違うのかまで説明しています。似た用語の違い（ウイルスとワーム、フィッシングとスミッシングなど）を押さえると得点力が一気に上がります。まずは何も見ずに解いてみてください。
脅威・脆弱性・攻撃手法 演習問題（全10問）
問題1
ファイルを勝手に暗号化して読めなくし、元に戻す代わりに金銭（身代金）を要求するマルウェアはどれか。
A. ワーム
B. ランサムウェア
C. スパイウェア
D. トロイの木馬
正解 B
【解説】
答えはランサムウェアです。ランサム（＝身代金）の名のとおり、パソコンやサーバー内のファイルを勝手に暗号化して開けなくし、元に戻したければ金を払えと要求します。実例として、2017年に世界中の病院や企業を止めたWannaCryが有名です。なぜ被害が深刻かというと、業務データが人質に取られ、事業そのものが止まってしまうからです。最大の対策は、ネットから切り離したオフラインバックアップ（3-2-1ルール）を持っておくこと。近年は暗号化するだけでなく、盗んだデータを公開すると脅す二重恐喝（ダブルエクストーション）が主流になっています。
各選択肢の解説
A：ワームは自己複製してネットワークを広がるマルウェア。身代金要求が主目的ではない。
B：正しい。ファイルを暗号化し、復号と引き換えに身代金を要求する。
C：スパイウェアは情報をこっそり盗み見るもので、暗号化はしない。
D：トロイの木馬は正規ソフトを装う侵入手口を指す語で、暗号化・身代金要求そのものではない。
試験対策ポイント：「暗号化＋身代金＝ランサムウェア」。最大の防御はバックアップ。
ワンポイント：近年は二重恐喝（暗号化＋暴露）が主流。バックアップだけでは情報漏えいは防げない。
関連知識：WannaCryはWindowsのSMBの脆弱性を悪用。パッチ適用の重要性を示した事件です。
問題2
他のファイルに寄生せず、自分自身で複製しながらネットワーク越しに自律的に感染を広げるマルウェアはどれか。
A. ウイルス
B. ランサムウェア
C. ルートキット
D. ワーム
正解 D
【解説】
答えはワームです。ワームの特徴は、宿主となる正規ファイルを必要とせず、自分の力でネットワークを渡り歩いて自己複製・拡散することです。ここがウイルスとの決定的な違いで、ウイルスは正規ファイルに寄生し、人がそれを実行して初めて広がります。実例として、SMBの脆弱性を悪用して爆発的に広がったConfickerや、ワーム的に拡散したWannaCryが挙げられます。対策はパッチ適用と、被害を広げないためのネットワークセグメンテーション（VLANなどによる分割）です。
各選択肢の解説
A：ウイルスは正規ファイルに寄生し、実行されて感染を広げる。自律拡散が主眼ではない。
B：ランサムウェアは暗号化と身代金要求が主目的。
C：ルートキットは潜伏・隠蔽が目的で、拡散の速さが特徴ではない。
D：正しい。宿主不要で自律的に自己複製・拡散する。
試験対策ポイント：「宿主なしで自律拡散＝ワーム」「宿主に寄生＝ウイルス」。
ワンポイント：ウイルスは人が実行して感染、ワームは勝手に広がる、が最大の違い。
関連知識：セグメンテーション（VLAN等）で横展開（ラテラルムーブメント）を抑えるのが有効です。
問題3
便利なソフトや正規のアプリを装ってユーザー自身にインストールさせ、裏でバックドアを開くなど不正な動作をするマルウェアはどれか。
A. トロイの木馬
B. ワーム
C. アドウェア
D. ボット
正解 A
【解説】
答えはトロイの木馬です。名前はギリシャ神話の木馬に由来し、一見役立つソフトや正規アプリを装ってユーザー自身に導入させ、裏でバックドアを開く・情報を盗むといった不正動作をします。ウイルスやワームと違い、自己複製はしないのが特徴です。実例として、偽のセキュリティソフトや、海賊版ソフトに仕込まれた検体があります。近年は、メール添付から侵入する入口役としてEmotet（エモテット）が悪名高く、侵入後にランサムウェアなどを呼び込む足がかりになります。
各選択肢の解説
A：正しい。正規を装って侵入し、裏で不正動作を行う。
B：ワームは自律的に拡散するのが特徴。
C：アドウェアは広告を強制表示するもので、装って侵入する点が主眼ではない。
D：ボットは遠隔操作される感染端末を指す語で、侵入手口そのものではない。
試験対策ポイント：「正規を装って侵入＝トロイの木馬」。自己複製しない点がポイント。
ワンポイント：トロイは入口。侵入後にランサムやボットを呼び込む足がかりになります。
関連知識：Emotetは代表的なトロイ／ローダー。添付ファイルとマクロの実行に注意。
問題4
OSの深部（カーネルなど）に潜り込んで管理者権限を奪い、自身の存在をOSやセキュリティソフトから隠すマルウェアはどれか。
A. キーロガー
B. スパイウェア
C. ルートキット
D. ワーム
正解 C
【解説】
答えはルートキットです。ルート（＝管理者）権限を奪ったうえで、OSの深い部分に潜り込み、自分の存在をシステムやウイルス対策ソフトから隠すのが特徴です。見つけにくいこと自体が最大の脅威で、感染に気づかないまま長期間の侵入を許してしまいます。対策としては、起動時に正規のソフトだけを許可するセキュアブート、挙動を監視するEDR、そして疑わしい場合はOSのクリーン再インストールが有効です。
各選択肢の解説
A：キーロガーはキー入力を記録するもので、存在の隠蔽が主目的ではない。
B：スパイウェアは情報収集が目的。
C：正しい。深部に潜伏し、権限奪取と存在隠蔽を行う。
D：ワームは自律拡散が特徴。
試験対策ポイント：「潜伏・隠蔽して権限奪取＝ルートキット」。検知が困難。
ワンポイント：起動段階に潜むブートキットはさらに厄介。セキュアブートで対抗します。
関連知識：発見にはEDRやオフラインでの検査が有効。通常のスキャンでは見つかりにくい。
問題5
フィッシングのうち、CEOやCFOといった経営幹部を狙い撃ちにして金銭や機密を狙う攻撃を何と呼ぶか。
A. フィッシング
B. ホエーリング
C. スミッシング
D. ビッシング
正解 B
【解説】
答えはホエーリングです。フィッシングの中でも、大物（ホエール＝クジラ）である経営幹部を標的に絞った攻撃を指します。特定個人を狙うスピアフィッシングの、とくに幹部版だと考えると分かりやすいです。実例として、経営者になりすまして経理担当に急な振込を指示するBEC（ビジネスメール詐欺）があり、一度の被害額が非常に大きくなります。対策は、多要素認証に加え、振込や機密操作に対する複数人でのダブルチェック体制です。
各選択肢の解説
A：フィッシングは不特定多数へ無差別にばらまく手口。
B：正しい。経営幹部を狙い撃つ標的型。
C：スミッシングはSMSを使う手口。
D：ビッシングは電話（音声）を使う手口。
試験対策ポイント：「幹部を狙う＝ホエーリング」「特定個人を狙う＝スピアフィッシング」。
ワンポイント：BEC（ビジネスメール詐欺）はホエーリングの典型。金銭被害が甚大です。
関連知識：媒体で名前が変わる：メール＝フィッシング、SMS＝スミッシング、電話＝ビッシング。
問題6
宅配便の不在通知や銀行を装ったSMS（ショートメッセージ）で偽サイトへ誘導する攻撃はどれか。
A. スミッシング
B. ビッシング
C. ファーミング
D. プリテキスティング
正解 A
【解説】
答えはスミッシングです。SMS＋フィッシングの造語で、宅配便の不在通知やキャリア・銀行を装ったショートメッセージから、偽サイトへ誘導して個人情報やパスワードを盗みます。実例として「荷物をお届けにあがりましたが不在でした」という偽SMSが典型です。対策はシンプルで、SMS内のリンクは開かず、公式アプリや公式サイトから自分で確認することです。
各選択肢の解説
A：正しい。SMSを使ったフィッシング。
B：ビッシングは電話（音声）を使う手口。
C：ファーミングはDNSを改ざんして偽サイトへ誘導する別の手口。
D：プリテキスティングは、もっともらしい口実を作って情報を聞き出すソーシャルエンジニアリング。
試験対策ポイント：「SMS＝スミッシング」「音声通話＝ビッシング」。媒体で区別する。
ワンポイント：宅配・銀行・携帯キャリアを装う偽SMSが定番。リンクは踏まないこと。
関連知識：ファーミングはDNS改ざん型。正規URLを打っても偽サイトに飛ばされる点で異なる。
問題7
多数の乗っ取り端末から大量の通信を一斉に送りつけ、サーバーや回線をパンクさせてサービスを停止させる攻撃はどれか。
A. SQLインジェクション
B. 中間者攻撃
C. ブルートフォース攻撃
D. DDoS攻撃
正解 D
【解説】
答えはDDoS攻撃です。多数の乗っ取り端末（ボットネット）から大量の通信を一斉に浴びせ、サーバーや回線をパンクさせてサービスを止めます。1台から行うDoSを、分散（Distributed）して大規模化したものがDDoSです。狙われるのは情報の機密性ではなく可用性（使えること）です。実例として、Miraiボットネットに乗っ取られた大量のIoT機器による大規模攻撃があります。対策はCDNやWAF、専用のDDoS防御サービス（CloudflareやAWS Shieldなど）です。
各選択肢の解説
A：SQLインジェクションはデータベースを不正操作する攻撃で、サービス停止が狙いではない。
B：中間者攻撃は通信への割り込みによる盗聴・改ざん。
C：ブルートフォースはパスワードの総当たり攻撃。
D：正しい。大量通信でサービスを停止させる。
試験対策ポイント：「大量通信でダウン＝DDoS」。狙いは可用性（Availability）。
ワンポイント：DNSやNTPを踏み台にした増幅（リフレクション）で、少ない元手で大攻撃も可能。
関連知識：MiraiはIoT機器を踏み台にした。初期パスワードの変更が重要な教訓です。
問題8
通信をしている二者の間にこっそり割り込み、やり取りを盗聴したり改ざんしたりする攻撃はどれか。
A. リプレイ攻撃
B. DDoS攻撃
C. 中間者攻撃（オンパス攻撃）
D. 総当たり攻撃
正解 C
【解説】
答えは中間者攻撃（オンパス攻撃）です。通信する二者のあいだに攻撃者がこっそり割り込み、内容を盗み見たり、書き換えたりします。実例として、暗号化されていない公衆Wi-Fiでの盗聴や、ARPスプーフィングによる通信の乗っ取りがあります。対策はHTTPS／TLSの徹底とVPNの利用です。近年はMITMに代わり、on-path attack（オンパス攻撃）という呼称が主流になっています。
各選択肢の解説
A：リプレイ攻撃は、盗んだ通信をそのまま再送してなりすます別の手口。
B：DDoSは大量通信でサービスを停止させる。
C：正しい。二者の間に割り込んで盗聴・改ざんする。
D：総当たり攻撃はパスワードを片っ端から試す手口。
試験対策ポイント：「間に割り込んで盗聴・改ざん＝中間者（オンパス）攻撃」。
ワンポイント：暗号化されていない公衆Wi-Fiは格好の舞台。HTTPSとVPNで防ぐ。
関連知識：MITMは近年on-path attackと呼ばれます。用語の言い換えに注意。
問題9
ソフトウェアの脆弱性に対する修正パッチがまだ提供されていない、無防備な期間を突く攻撃はどれか。
A. ゼロデイ攻撃
B. ブルートフォース攻撃
C. フィッシング
D. リプレイ攻撃
正解 A
【解説】
答えはゼロデイ攻撃です。脆弱性が見つかっても、修正パッチが出るまでには時間がかかります。その対策日数がゼロの無防備な期間を突くのがゼロデイ攻撃で、パッチが存在しないため守りようがないのが恐ろしい点です。実例として、複数のゼロデイを悪用してイランの核施設を狙ったStuxnet（スタックスネット）が有名です。パッチ待ちでは防げないため、対策はEDRやIPSによる挙動ベースの検知と、多層防御（一つ破られても次で止める）です。
各選択肢の解説
A：正しい。パッチ提供前の未知の脆弱性を突く。
B：ブルートフォースはパスワードの総当たり。
C：フィッシングは人をだまして情報を盗む手口。
D：リプレイ攻撃は通信の再送によるなりすまし。
試験対策ポイント：「パッチが無い未知の穴＝ゼロデイ」。パッチ適用だけでは防げない。
ワンポイント：挙動ベース検知（EDR／アノマリ検知）と多層防御で被害を最小化する。
関連知識：Stuxnetはゼロデイを複数悪用した高度な事例として知られます。
問題10
考えられるパスワードの組み合わせを、片っ端から機械的に試して突破を狙う攻撃はどれか。
A. レインボーテーブル攻撃
B. 総当たり（ブルートフォース）攻撃
C. クレデンシャルスタッフィング
D. 辞書攻撃
正解 B
【解説】
答えは総当たり（ブルートフォース）攻撃です。考えられるパスワードのあらゆる組み合わせを、機械的に片っ端から試して突破を狙います。単純ですが、短く単純なパスワードは短時間で破られてしまいます。実例として、管理者アカウントへの連続ログイン試行があります。対策は、一定回数失敗するとロックするアカウントロックアウト、多要素認証（MFA）、そして長く複雑なパスワードの利用です。
各選択肢の解説
A：レインボーテーブルは、事前計算したハッシュ表から元のパスワードを逆算する別手口。
B：正しい。あらゆる組み合わせを機械的に試す。
C：クレデンシャルスタッフィングは、他所で漏れたID／パスワードの使い回しを試す攻撃。
D：辞書攻撃は、よく使われる単語リストで試す、総当たりの効率化版。
試験対策ポイント：「全パターンを機械的に＝ブルートフォース」。ロックアウトとMFAで対抗。
ワンポイント：辞書攻撃は単語リスト版、クレデンシャルスタッフィングは流出パスワードの使い回し版。
関連知識：ソルト付きハッシュはレインボーテーブルを無効化する重要な防御です。
■ ここまでのミニまとめ（問題1〜10）
復習ポイント：暗号化＋身代金＝ランサムウェア／自律拡散＝ワーム／正規を装う＝トロイの木馬／潜伏・隠蔽＝ルートキット／幹部狙い＝ホエーリング／SMS＝スミッシング／大量通信でダウン＝DDoS／間に割り込む＝中間者（オンパス）／未知の穴＝ゼロデイ／総当たり＝ブルートフォース。
重要用語まとめ：ランサムウェア、ワーム、ウイルス、トロイの木馬、ルートキット、フィッシング／スミッシング／ビッシング、ホエーリング、DDoS、中間者攻撃、ゼロデイ、ブルートフォース。
頻出ポイント：①ウイルスとワームの違い（宿主の有無）②フィッシングの媒体別の呼び方③ゼロデイはパッチ提供前を突く④ランサムは二重恐喝が主流。ここは特に狙われます。
現役エンジニアの視点：実務での使いどころ
脅威分野は、机上の知識に見えて実務に直結します。現場では、ランサムウェアの二重恐喝やフィッシングの巧妙化を日々意識しますし、WannaCryのように「パッチを当てていれば防げた」事例は今も教訓です。用語を覚えるときは、「この攻撃は機密性・完全性・可用性のどれを狙うか」を意識すると、対策とセットで頭に入ります。
おわりに
お疲れさまでした。この分野は、Security+の中でも出題比率が高い重要パートです。マルウェアの分類（寄生するか・拡散するか・隠れるか）と、攻撃の狙い（機密性・完全性・可用性のどれを崩すか）を意識すると、知らない問題でも推測が利くようになります。
※掲載問題はすべて筆者が独自に作成したオリジナルです。実際の試験問題ではありません。試験仕様は変更される場合があるため、受験前にCompTIA公式でご確認ください。
CompTIA Security+ 問題集シリーズ 全8回（分野別）
分野別に、1問ずつ徹底解説つきで公開しています。気になる分野・弱点分野からどうぞ。
👉 まずは全体像から：CompTIA Security+の勉強法・独学合格ロードマップ
コメント