フィッシングとは？偽サイトで認証情報を入力させる攻撃【基本情報技術者試験】

まず結論

フィッシングとは、正規のサービスを装って利用者をだまし、ID・パスワードなどの認証情報を入力させる攻撃です。

基本情報技術者試験では、次のように判断すると選択肢を切りやすくなります。

用語	何を見る？	判断の合図
フィッシング	利用者をだまして情報を入力させる	偽メール、偽サイト、URLクリック、認証情報入力
スミッシング	SMSでだまして誘導する	SMS、ショートメッセージ、偽URL
ビッシング	電話でだまして情報を聞き出す	電話、音声通話、銀行員を装う
ファーミング	正しいURLでも偽サイトへ誘導する	DNS改ざん、hostsファイル改ざん、URLを打っても偽サイト
DDoS攻撃	サービスを止める	多数の端末、一斉アクセス、サービス不能
ボット	感染端末を遠隔操作する	C&Cサーバ、命令、踏み台
メールヘッダーインジェクション	メールのヘッダーを不正に追加・変更する	To、Subject、改行文字、メールフォーム

問題文に 偽のWebサイト、メール本文中のURL、認証情報を入力 が出たら、まず フィッシング を疑います。

直感的な説明

フィッシングは、たとえるなら 本物そっくりの受付を作って、利用者に合鍵の番号を書かせる攻撃 です。

利用者は、本物の銀行やサービスだと思っています。

でも実際には、攻撃者が用意した偽の受付です。

本物らしいメールが届く
↓
メール内のURLをクリックする
↓
本物そっくりの偽サイトに移動する
↓
ID・パスワードを入力する
↓
攻撃者に情報が渡る

ここで大事なのは、ウイルス感染やサーバ停止ではなく、人をだまして情報を入力させる ところです。

英語で言うなら、次のイメージです。

A fake website is used to steal login credentials.

「偽サイトでログイン情報を盗む」と押さえると、問題文から見つけやすくなります。

定義・仕組み

フィッシングは、銀行、クレジットカード会社、ECサイト、宅配業者、クラウドサービスなどを装い、利用者を偽サイトへ誘導して重要情報を入力させる攻撃です。

狙われやすい情報には、次のようなものがあります。

ID
パスワード
ワンタイムパスワード
クレジットカード番号
口座情報
個人情報

典型的な流れは次のとおりです。

攻撃者が本物に似せたメールやSMSを送る
利用者を偽サイトに誘導する
利用者にID・パスワードなどを入力させる
攻撃者が入力された情報を入手する
その情報を使って不正ログインや金銭被害につなげる

このテーマは、基本情報技術者試験の「情報セキュリティ」と関係する内容です。公式の出題範囲やシラバスは、IPA：基本情報技術者試験から確認できます。

科目Aでどう出る？

科目Aでは、攻撃手順を読んで、どの攻撃かを選ぶ問題が出やすいです。

フィッシングは、次の3点がそろうと判断しやすくなります。

偽メール・SMS
＋
偽サイトへの誘導
＋
認証情報や個人情報の入力

問題文の表現	選びたい用語
金融機関を装ったメールを送り、偽サイトに誘導して認証情報を入力させる	フィッシング
SMSで宅配業者などを装い、偽サイトに誘導する	スミッシング
電話で銀行員などを装い、暗証番号や認証情報を聞き出す	ビッシング
DNSなどを改ざんし、正しいURLを入力しても偽サイトへ誘導する	ファーミング
多数の端末から一斉にアクセスし、サービスを停止させる	DDoS攻撃
感染PCがC&Cサーバから命令を受けて動く	ボット
多数のボットをまとめて攻撃に使う	ボットネット
メールフォームで改行文字を使い、ToやSubjectなどを不正に追加する	メールヘッダーインジェクション

試験では、何を盗むのか、何を止めるのか、何を操作するのか を見ると切り分けやすいです。

認証情報を盗む → フィッシング
サービスを止める → DDoS攻撃
感染端末を操作する → ボット
メールヘッダーを改ざんする → メールヘッダーインジェクション

科目Bでどう使う？

科目Bでは、フィッシングが直接答えになるだけでなく、業務上の対策を選ぶ文脈で出ることがあります。

例えば、次のような状況です。

社員が、取引先や社内システムを装ったメールを受け取った。
本文中のURLを開くと、ログイン画面が表示された。

この場合は、次のように読みます。

メールの送信者は本物か
URLやドメインは正しいか
ログイン情報を入力させようとしていないか
急がせる表現で判断力を下げていないか

対策としては、次のようなものが関係します。

対策	役割
メール内リンクを安易に開かない	偽サイトへの誘導を避ける
公式サイトやブックマークからアクセスする	正しい入口からログインする
URL・ドメイン名を確認する	偽サイトに気づく
多要素認証を使う	パスワード流出時の被害を下げる
SPF・DKIM・DMARCを設定する	なりすましメールを減らす
フィッシング訓練を行う	利用者が気づけるようにする

科目Bでは、単に「フィッシングを知っているか」よりも、利用者・組織としてどう防ぐか を読むことが大切です。

よくある誤解・混同

フィッシングは、DDoS攻撃、ボット、ファーミング、メールヘッダーインジェクションなどと混同しやすいです。

混同しやすい用語	よくある誤解	正しい見方
DDoS攻撃	偽サイトに誘導する攻撃	多数の端末から一斉にアクセスしてサービスを止める攻撃
ボット	偽メールを送る行為そのもの	感染端末を外部から命令で動かすマルウェア
ボットネット	偽サイトの集まり	多数のボットをまとめたネットワーク
ファーミング	メールで偽サイトへ誘導する攻撃	DNSなどを改ざんし、正しいURLでも偽サイトへ誘導する攻撃
スミッシング	メールでのフィッシング	SMSを使ったフィッシング
ビッシング	Webサイトで入力させる攻撃	電話で情報を聞き出す攻撃
メールヘッダーインジェクション	偽メールでだます攻撃	メールヘッダーや本文を不正に追加・変更する攻撃
スパムメール	必ずフィッシングである	迷惑メール全般。フィッシングを含むことはあるが同じではない

特に、フィッシングとファーミングは近く見えます。

フィッシング：メールなどでURLをクリックさせて 偽サイトへ誘導する
ファーミング：DNSなどを改ざんして 正しいURLでも偽サイトへ誘導する

また、HTTPSの表示にも注意が必要です。

HTTPSは通信を暗号化する仕組みです。サイト自体が本物であることを、常に保証するものではありません。

そのため、偽サイトでもHTTPSを使っている場合があります。

試験では、HTTPSだから安全 とすぐ判断しないようにします。

まとめ（試験直前用）

フィッシングは、偽メール・偽サイトで認証情報を入力させる攻撃
判断の合図は、偽サイト、URLクリック、ID・パスワード入力
DDoS攻撃は、サービス停止が目的
ボットは、感染端末を遠隔操作するマルウェア
ファーミングは、DNSなどの改ざんで偽サイトへ誘導する攻撃
スミッシングはSMS、ビッシングは電話を使う
メールヘッダーインジェクションは、メールヘッダーや本文を不正に追加・変更する攻撃
HTTPSでも偽サイトの可能性がある

🔗 関連記事

🏠 基本情報技術者トップに戻る