【正解の解説】
SSL/TLSの暗号通信を不正に傍受し、利用者のパスワードやクレジットカード番号などの機密情報を盗み出す攻撃手法である。
通信の暗号化を破って中身を盗み出すのは「スニッフィング」や「盗聴」と呼ばれる別の攻撃です。クリックジャッキングは見た目を偽装してユーザーに誤操作をさせる手口なので、この説明は完全に的外れとなります。ITパスポート試験では、有名なセキュリティ用語を別の攻撃手口の説明とすり替えて出題されることが多いため、用語の定義を正確に区別して覚えることが合格への近道です。
【その他の選択肢の解説】
透過性の高い透明なレイヤーを正規のボタンの上に重ねて配置し、利用者に意図しないリンクを踏ませる攻撃手法である。
これはまさにクリックジャッキングの本質を突いた説明です。例えば、目の前にある「プレゼント応募ボタン」の下に、実際には「高額な有料プランの契約ボタン」を透明にして重ねておくような手口です。ユーザーは善意でクリックしているつもりが、実は罠にはめられているという巧妙な詐欺のウェブ版であり、見た目に騙されない仕組み作りやブラウザの対策が重要となります。
掲示板などの入力欄に悪意あるスクリプトを埋め込み、閲覧者のブラウザ上で意図しないスクリプトを実行させる攻撃手法である。
選択肢にある内容は「XSS（クロスサイトスクリプティング）」という別の有名な攻撃手口です。悪意あるプログラムを他人のブラウザ上で勝手に実行させる点が特徴であり、画面の見た目を偽装してクリックを誘導するクリックジャッキングとは仕組みも目的も全く異なります。ITパスポート試験ではアルファベットの略称やカタカナのセキュリティ用語が混同しやすいため注意が必要です。
Webアプリケーションの脆弱性を利用して、開発者が想定していない不正なSQL文をデータベースに実行させる攻撃手法である。
この説明はデータベースの隙を突いて不正な命令を実行させる「SQLインジェクション」を指しています。Webサイトの裏側にあるデータベースを攻撃する手口であり、ブラウザの画面上でユーザーのマウス操作をだますクリックジャッキングとは全く異なる領域の攻撃です。試験ではこのように全く関係のない別のセキュリティ脅威の定義を混ぜてくるため、それぞれの攻撃がどこを狙ったものか整理しておきましょう。