なりすましとは？なりすまし
なりすましは、認証の主体を偽って正当な利用者・機器・サービスとして扱わせる脅威であり、対抗する情報セキュリティの要素は真正性（authenticity）である。実現経路は認証情報の窃取（フィッシング、パスワードリスト攻撃、キーロガー）、認証済みセッションの奪取（セッションハイジャック、Cookieの窃取）、識別子そのものの詐称（IPスプーフィング、ARPスプーフィング、メールの送信者偽装）に大別され、どの経路かで対策が変わるのが要点。認証情報の窃取には多要素認証とFIDO2のようなフィッシング耐性のある方式、セッション奪取にはログイン後のセッションID再発行・Secure属性とHttpOnly属性・適切なタイムアウト、識別子の詐称には送信ドメイン認証（SPF・DKIM・DMARC）やIEEE 802.1X、サーバ証明書による相手認証が対応する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
ID・パスワードという知識だけの認証は、その情報が一度でも外に出れば本人と攻撃者を区別できなくなる。真正性を確保する仕組みが幾重にも用意されているのは、この単一要素の脆さを補うためであり、さらに「認証を通す前」を守る対策と「認証を通した後のセッション」を守る対策は別物だという事情がある。多要素認証はセッション奪取には効かず、送信ドメイン認証は類似ドメインには効かない——どの経路を塞ぐ手段なのかを対応づけないと、対策を足しても穴が残る。応用情報で経路別に問われるのは、この対応づけがそのまま障害対応時の切り分け手順になるからである。
具体例
自社Webサービスへの不正ログインが増えたという障害報告に対し、同一IPから多数のIDへ1回ずつ試行されているならパスワードリスト攻撃で、打ち手はリスクベース認証と多要素認証の追加になる。一方、正規ログイン直後の別IPから同じセッションIDで操作されているならセッションハイジャックで、多要素認証を足しても防げない——ログイン成功時にセッションIDを再発行する、という別の対策が要る。同じ「なりすまし」でも、どの経路かを特定するまで対策は決まらない。
試験での引っ掛け
対策を「多要素認証」で一括りにしないこと。セッションハイジャックやCSRFのように認証を通過した後を狙う手口には多要素認証は無効で、それぞれセッションIDの再発行、トークンによるリクエスト検証が対応する。SPF・DKIM・DMARCは送信ドメインの詐称を検知する仕組みであって、正規ドメインを乗っ取られた場合や類似ドメインからの送信は防げない点も境界として問われる。暗号化（機密性）と本人確認（真正性）の対応も混同しやすく、TLSはなりすまし対策としては通信路の盗聴防止ではなくサーバ証明書による相手認証の側で効く。記述式では、選んだ対策が「どの経路のなりすましを止めるのか」を30〜50字で名指しする。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 応用情報技術者試験 午前 問40（IPA）解説で登場
リスクベース認証の特徴はどれか。
正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、一定の利便性を保ちながら、不正アクセスに対抗し安全性を高める。
要点：リスクベース認証は普段と違うときだけ認証を追加する
リスクベース認証は、アクセス元のIPアドレスや端末、時間帯などの情報から普段と異なる状況かどうかを判断し、通常と違うと判定したときだけ追加の認証を求める方式です。日常的な利用では手間を増やさず、なりすましが疑われる場面でだけ確認を強めるため、利便性と安全性を両立できます。常に2種類の認証を課す多要素認証とは考え方が異なります。
出典：令和3年度 春期 応用情報技術者試験 午前 問39（IPA）解説で登場
リスクベース認証の特徴はどれか。
正解：普段と異なる利用条件でのアクセスと判断した場合には、追加の本人認証をすることによって、不正アクセスに対する安全性を高める。
要点：リスクベース認証は普段と違うアクセス時だけ追加認証する
リスクベース認証は、アクセス元のIPアドレスや国、端末、時間帯などから普段の利用パターンとの差を評価し、リスクが高いと判断した場合にだけ追加の本人確認を求める方式である。通常時の利便性を保ちながら、なりすましによる不正アクセスを抑止できる。
出典：令和6年度 秋期 応用情報技術者試験 午前 問39（IPA）解説で登場
ディープフェイクを悪用した攻撃に該当するものはどれか。
正解：AI技術によって加工したCEOの音声を使用して従業員に電話をかけ、指定した銀行口座に送金するよう指示した。
要点：ディープフェイクはAIで顔や声を偽造しなりすます攻撃
ディープフェイクは、AI（深層学習）を用いて実在する人物の顔や声を精巧に偽造する技術である。これを悪用した攻撃とは、偽造した経営者の音声や映像で本人になりすまし、送金などを指示する類の詐欺を指す。他の選択肢はランサムウェアや詐欺メール、不正ログインであり、生成技術による偽造とは異なる。
出典：令和7年度 秋期 応用情報技術者試験 午前 問45（IPA）
電子メールの送信時に、送信側メールサーバでデジタル署名を電子メールヘッダーに付与し、受信側メールサーバでそれを検証することで、送信元ドメインのなりすましや電子メ…
正解：DKIM
要点：DKIMは送信サーバが署名しDNSの公開鍵で検証する
DKIM（DomainKeys Identified Mail）は、送信側メールサーバがメールのヘッダーと本文からデジタル署名を作りDKIM-Signatureヘッダーとして付加する技術である。受信側はDNSに公開されている送信ドメインの公開鍵で署名を検証し、送信元ドメインのなりすましと本文の改ざんの双方を検知できる。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (3) 脅威に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。