なりすましとは？

なりすましの意味

他人のID・パスワードなどを不正に使い、その人物であるかのように振る舞ってシステムやサービスを利用する行為。

なりすましの具体例

盗んだIDとパスワードでSNSアカウントに不正ログインし、本人になりすまして不適切な投稿を行う、といった被害が該当する。

なりすましは試験でどう引っ掛けられる？

手口の名前ではなく「他人になりきる行為」そのもの。ソーシャルエンジニアリングやフィッシングは、なりすますための手段という関係になる。対策は通信の暗号化ではなく、多要素認証など本人確認の強化である点を押さえる。

なりすましと関連する用語

• フィッシング
• 利用者認証（多要素認証・バイオメトリクス認証）

なりすましが出た過去問

• リスクベース認証の特徴はどれか。

  正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、一定の利便性を保ちながら、不正アクセスに対抗し安全性を高める。

  要点：リスクベース認証は普段と違うときだけ認証を追加する

  リスクベース認証は、アクセス元のIPアドレスや端末、時間帯などの情報から普段と異なる状況かどうかを判断し、通常と違うと判定したときだけ追加の認証を求める方式です。日常的な利用では手間を増やさず、なりすましが疑われる場面でだけ確認を強めるため、利便性と安全性を両立できます。常に2種類の認証を課す多要素認証とは考え方が異なります。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問40（IPA）

• リスクベース認証の特徴はどれか。

  正解：普段と異なる利用条件でのアクセスと判断した場合には、追加の本人認証をすることによって、不正アクセスに対する安全性を高める。

  要点：リスクベース認証は普段と違うアクセス時だけ追加認証する

  リスクベース認証は、アクセス元のIPアドレスや国、端末、時間帯などから普段の利用パターンとの差を評価し、リスクが高いと判断した場合にだけ追加の本人確認を求める方式である。通常時の利便性を保ちながら、なりすましによる不正アクセスを抑止できる。

  出典：令和3年度 春期 応用情報技術者試験 午前 問39（IPA）

• ディープフェイクを悪用した攻撃に該当するものはどれか。

  正解：AI技術によって加工したCEOの音声を使用して従業員に電話をかけ、指定した銀行口座に送金するよう指示した。

  要点：ディープフェイクはAIで顔や声を偽造しなりすます攻撃

  ディープフェイクは、AI（深層学習）を用いて実在する人物の顔や声を精巧に偽造する技術である。これを悪用した攻撃とは、偽造した経営者の音声や映像で本人になりすまし、送金などを指示する類の詐欺を指す。他の選択肢はランサムウェアや詐欺メール、不正ログインであり、生成技術による偽造とは異なる。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問39（IPA）

• 電子メールの送信時に、送信側メールサーバでデジタル署名を電子メールヘッダーに付与し、受信側メールサーバでそれを検証することで、送信元ドメインのなりすましや電子メ…

  正解：DKIM

  要点：DKIMは送信サーバが署名しDNSの公開鍵で検証する

  DKIM（DomainKeys Identified Mail）は、送信側メールサーバがメールのヘッダーと本文からデジタル署名を作りDKIM-Signatureヘッダーとして付加する技術である。受信側はDNSに公開されている送信ドメインの公開鍵で署名を検証し、送信元ドメインのなりすましと本文の改ざんの双方を検知できる。

  出典：令和7年度 秋期 応用情報技術者試験 午前 問45（IPA）