---
title: "フィッシングとは？偽サイトで認証情報を入力させる攻撃【基本情報技術者試験】"
description: "フィッシングを「正規のサービスを装ったメールや偽サイトで利用者をだまし、ID・パスワードなどを入力させる攻撃」として整理し、DDoS攻撃、ボット、ボットネット、ファーミング、スミッシング、メールヘッダーインジェクションとの違いをFE試験の選択肢で切れるように解説します。"
last_modified_at: "2026-07-10"
canonical_url: "https://stemtazoo.github.io/fe/phishing/"
section: "fe"
---

## まず結論

フィッシングとは、**正規のサービスを装って利用者をだまし、ID・パスワードなどの認証情報を入力させる攻撃**です。

基本情報技術者試験では、次のように判断すると選択肢を切りやすくなります。

| 用語 | 何を見る？ | 判断の合図 |
|---|---|---|
| フィッシング | 利用者をだまして情報を入力させる | 偽メール、偽サイト、URLクリック、認証情報入力 |
| スミッシング | SMSでだまして誘導する | SMS、ショートメッセージ、偽URL |
| ビッシング | 電話でだまして情報を聞き出す | 電話、音声通話、銀行員を装う |
| ファーミング | 正しいURLでも偽サイトへ誘導する | DNS改ざん、hostsファイル改ざん、URLを打っても偽サイト |
| DDoS攻撃 | サービスを止める | 多数の端末、一斉アクセス、サービス不能 |
| ボット | 感染端末を遠隔操作する | C&Cサーバ、命令、踏み台 |
| メールヘッダーインジェクション | メールのヘッダーを不正に追加・変更する | To、Subject、改行文字、メールフォーム |

問題文に **偽のWebサイト**、**メール本文中のURL**、**認証情報を入力** が出たら、まず **フィッシング** を疑います。

## 直感的な説明

フィッシングは、たとえるなら **本物そっくりの受付を作って、利用者に合鍵の番号を書かせる攻撃** です。

利用者は、本物の銀行やサービスだと思っています。

でも実際には、攻撃者が用意した偽の受付です。

```text
本物らしいメールが届く
↓
メール内のURLをクリックする
↓
本物そっくりの偽サイトに移動する
↓
ID・パスワードを入力する
↓
攻撃者に情報が渡る
```

ここで大事なのは、ウイルス感染やサーバ停止ではなく、**人をだまして情報を入力させる** ところです。

英語で言うなら、次のイメージです。

> A fake website is used to steal login credentials.

「偽サイトでログイン情報を盗む」と押さえると、問題文から見つけやすくなります。

## 定義・仕組み

フィッシングは、銀行、クレジットカード会社、ECサイト、宅配業者、クラウドサービスなどを装い、利用者を偽サイトへ誘導して重要情報を入力させる攻撃です。

狙われやすい情報には、次のようなものがあります。

- ID
- パスワード
- ワンタイムパスワード
- クレジットカード番号
- 口座情報
- 個人情報

典型的な流れは次のとおりです。

1. 攻撃者が本物に似せたメールやSMSを送る
2. 利用者を偽サイトに誘導する
3. 利用者にID・パスワードなどを入力させる
4. 攻撃者が入力された情報を入手する
5. その情報を使って不正ログインや金銭被害につなげる

このテーマは、基本情報技術者試験の「情報セキュリティ」と関係する内容です。公式の出題範囲やシラバスは、[IPA：基本情報技術者試験](https://www.ipa.go.jp/shiken/kubun/fe.html) から確認できます。

## 科目Aでどう出る？

科目Aでは、攻撃手順を読んで、どの攻撃かを選ぶ問題が出やすいです。

フィッシングは、次の3点がそろうと判断しやすくなります。

```text
偽メール・SMS
＋
偽サイトへの誘導
＋
認証情報や個人情報の入力
```

| 問題文の表現 | 選びたい用語 |
|---|---|
| 金融機関を装ったメールを送り、偽サイトに誘導して認証情報を入力させる | フィッシング |
| SMSで宅配業者などを装い、偽サイトに誘導する | スミッシング |
| 電話で銀行員などを装い、暗証番号や認証情報を聞き出す | ビッシング |
| DNSなどを改ざんし、正しいURLを入力しても偽サイトへ誘導する | ファーミング |
| 多数の端末から一斉にアクセスし、サービスを停止させる | DDoS攻撃 |
| 感染PCがC&Cサーバから命令を受けて動く | ボット |
| 多数のボットをまとめて攻撃に使う | ボットネット |
| メールフォームで改行文字を使い、ToやSubjectなどを不正に追加する | メールヘッダーインジェクション |

試験では、**何を盗むのか、何を止めるのか、何を操作するのか** を見ると切り分けやすいです。

- 認証情報を盗む → フィッシング
- サービスを止める → DDoS攻撃
- 感染端末を操作する → ボット
- メールヘッダーを改ざんする → メールヘッダーインジェクション

## 科目Bでどう使う？

科目Bでは、フィッシングが直接答えになるだけでなく、業務上の対策を選ぶ文脈で出ることがあります。

例えば、次のような状況です。

```text
社員が、取引先や社内システムを装ったメールを受け取った。
本文中のURLを開くと、ログイン画面が表示された。
```

この場合は、次のように読みます。

1. メールの送信者は本物か
2. URLやドメインは正しいか
3. ログイン情報を入力させようとしていないか
4. 急がせる表現で判断力を下げていないか

対策としては、次のようなものが関係します。

| 対策 | 役割 |
|---|---|
| メール内リンクを安易に開かない | 偽サイトへの誘導を避ける |
| 公式サイトやブックマークからアクセスする | 正しい入口からログインする |
| URL・ドメイン名を確認する | 偽サイトに気づく |
| 多要素認証を使う | パスワード流出時の被害を下げる |
| SPF・DKIM・DMARCを設定する | なりすましメールを減らす |
| フィッシング訓練を行う | 利用者が気づけるようにする |

科目Bでは、単に「フィッシングを知っているか」よりも、**利用者・組織としてどう防ぐか** を読むことが大切です。

## よくある誤解・混同

フィッシングは、DDoS攻撃、ボット、ファーミング、メールヘッダーインジェクションなどと混同しやすいです。

| 混同しやすい用語 | よくある誤解 | 正しい見方 |
|---|---|---|
| DDoS攻撃 | 偽サイトに誘導する攻撃 | 多数の端末から一斉にアクセスしてサービスを止める攻撃 |
| ボット | 偽メールを送る行為そのもの | 感染端末を外部から命令で動かすマルウェア |
| ボットネット | 偽サイトの集まり | 多数のボットをまとめたネットワーク |
| ファーミング | メールで偽サイトへ誘導する攻撃 | DNSなどを改ざんし、正しいURLでも偽サイトへ誘導する攻撃 |
| スミッシング | メールでのフィッシング | SMSを使ったフィッシング |
| ビッシング | Webサイトで入力させる攻撃 | 電話で情報を聞き出す攻撃 |
| メールヘッダーインジェクション | 偽メールでだます攻撃 | メールヘッダーや本文を不正に追加・変更する攻撃 |
| スパムメール | 必ずフィッシングである | 迷惑メール全般。フィッシングを含むことはあるが同じではない |

特に、フィッシングとファーミングは近く見えます。

- フィッシング：**メールなどでURLをクリックさせて** 偽サイトへ誘導する
- ファーミング：**DNSなどを改ざんして** 正しいURLでも偽サイトへ誘導する

また、HTTPSの表示にも注意が必要です。

HTTPSは通信を暗号化する仕組みです。サイト自体が本物であることを、常に保証するものではありません。

そのため、偽サイトでもHTTPSを使っている場合があります。

試験では、**HTTPSだから安全** とすぐ判断しないようにします。

## まとめ（試験直前用）

- フィッシングは、偽メール・偽サイトで認証情報を入力させる攻撃
- 判断の合図は、偽サイト、URLクリック、ID・パスワード入力
- DDoS攻撃は、サービス停止が目的
- ボットは、感染端末を遠隔操作するマルウェア
- ファーミングは、DNSなどの改ざんで偽サイトへ誘導する攻撃
- スミッシングはSMS、ビッシングは電話を使う
- メールヘッダーインジェクションは、メールヘッダーや本文を不正に追加・変更する攻撃
- HTTPSでも偽サイトの可能性がある