中小企業診断士 過去問
令和8年度（2026年）
問182 (経営情報システム 問22)

適切です。

DDoS攻撃（Distributed Denial of Service attack）とは、複数のコンピュータなどから標的のサーバに大量の通信を送り、正常なサービスを利用できなくする攻撃です。

例えば、ネットショップのWebサイトに対して、攻撃者が大量のアクセスを集中させる場合です。

サーバが処理できる量を超えるアクセスを受けると、画面の表示が遅くなったり、サイトに接続できなくなったりします。

この攻撃では、マルウェア（不正なプログラム）に感染して乗っ取られた多数のコンピュータやIoT機器などが利用されることもあります。

なお、DoS攻撃とDDoS攻撃には、次のような違いがあります。

DoS攻撃：標的に大量の通信などを送り、サービスの提供を妨害する攻撃

DDoS攻撃：複数の機器から分散して大量の通信などを送り、サービスの提供を妨害する攻撃

DDoS攻撃は、複数の機器から攻撃が行われるため、攻撃元の特定や通信の遮断が難しくなる場合があります。

不適切です。

これは、主にバックドアに関する説明です。

バックドアとは、通常の認証やセキュリティ対策を通らずに、システムへアクセスできるようにする裏口のような仕組みです。

悪意のあるプログラムによって、利用者に気付かれないようにバックドアが設置される場合があります。

一方、中間者攻撃（Man-in-the-Middle Attack）とは、通信している2者の間に攻撃者が入り込み、通信内容を盗み見たり、書き換えたりする攻撃です。

例えば、利用者がWebサイトにログインするときに、攻撃者が通信の途中に入り込み、送受信される情報を盗み取る場合などです。

このように、中間者攻撃は通信への割り込み、バックドアは不正にアクセスするための裏口という違いがあります。

不適切です。

これは、サプライチェーン攻撃の説明です。

サプライチェーン攻撃とは、標的とする企業を直接攻撃するのではなく、取引先や委託先などを経由して攻撃する手法です。

例えば、大企業のシステムに直接侵入することが難しい場合に、セキュリティ対策が比較的弱い取引先のシステムに侵入し、そこから大企業のネットワークへのアクセスを試みる場合です。

また、企業が利用しているソフトウェアの開発元や提供元を攻撃し、不正なプログラムを混入させる手法もあります。

一方、バックドアとは、システムへ不正にアクセスするために設けられた裏口のような仕組みです。

したがって、サプライチェーン攻撃は取引先などを経由する攻撃、バックドアは不正な侵入経路という違いがあります。

不適切です。

これは、ゼロデイ攻撃の説明です。

ゼロデイ攻撃とは、ソフトウェアなどの脆弱性に対する修正プログラムが提供される前に、その弱点を悪用して行われる攻撃です。

脆弱性とは、コンピュータやソフトウェアに存在する、セキュリティ上の弱点のことです。

例えば、ソフトウェアに未知の欠陥があり、開発元が修正する前に攻撃者がその欠陥を悪用する場合です。

一方、バッファオーバーラン（バッファオーバーフロー）とは、データを一時的に保存するメモリ領域に、容量を超えるデータを書き込んでしまう現象です。

このような弱点を悪用すると、プログラムを異常終了させたり、不正なプログラムを実行させたりできる場合があります。

例えば、100文字分しか保存できない領域に、想定を超える大量のデータを入力し、周囲のメモリの内容を壊す場合などです。

したがって、ゼロデイ攻撃は修正前の脆弱性を悪用する攻撃、バッファオーバーランはメモリ領域の容量を超える書き込みに関する問題です。

不適切です。

これは、ランサムウェアによる攻撃の説明です。

ランサムウェアとは、コンピュータ内のファイルを暗号化するなどして利用できなくし、元に戻すことなどと引き換えに金銭を要求する不正なプログラムです。

例えば、企業の重要な業務データが暗号化され、攻撃者から「元に戻したければお金を支払うように」と要求される場合です。

一方、フィッシングとは、実在する企業や金融機関などを装った偽のメールやWebサイトを利用して、IDやパスワード、クレジットカード情報などを盗み取る攻撃です。

例えば、銀行からの連絡を装って「口座の確認が必要です」と記載した偽メールを送り、偽のログイン画面へ誘導する場合です。

利用者が偽の画面にIDやパスワードを入力すると、その情報が攻撃者に盗まれるおそれがあります。

したがって、フィッシングは偽の連絡やWebサイトを使った情報の詐取、ランサムウェアはデータなどを利用できなくして金銭を要求する攻撃という違いがあります。

標的のサーバやネットワークに対して、複数のコンピュータから大量のリクエストを集中させて過負荷状態にし、正常なサービスの継続を妨害する攻撃をDDoS攻撃（Distributed Denial of Service：分散型サービス妨害攻撃）というため、正解の選択肢となります。

※Denial of Serviceが「サービスの拒否」、Distributeは「配布」という意味があるため、英語に抵抗がない方はイメージしやすいと思います。

悪意のあるコードがソフトウェア内に埋め込まれ、通常の認証手順を迂回してシステムやネットワークにアクセスできるようにする攻撃はバックドアであるため、不適切な選択肢となります。

標的とする企業ではなく取引先などを狙い、そこを踏み台にして攻撃を行うのはサプライチェーン攻撃であるため、不適切な選択肢となります。

※サプライチェーンは、川上の「メーカー」から「卸売」→「小売」→川下の「消費者」へと商品が供給（サプライ）される商活動の連鎖（チェーン）のことです。運営管理の店舗・販売管理分野で出題されるため、理解しやすいと思います。

修正パッチが存在しない未知の脆弱（ぜいじゃく）性を突く攻撃はゼロデイ攻撃であるため、不適切な選択肢となります。

※ゼロデイ攻撃は令和6年度に出題されたため、正誤判断はしやすかったと思います。

他人のコンピュータのファイルを暗号化することで正常にアクセスできない状態にし、元に戻すために身代金の支払いが要求される攻撃はランサムウェアであるため、不適切な選択肢となります。

※ランサムウェアは令和7年度に出題されたため、正誤判断はしやすかったと思います。