フィッシングとは？

フィッシングの意味

実在する金融機関や企業を装った偽のメールやWebサイトへ誘導し、ID・パスワードやクレジットカード情報などを入力させて盗み取る詐欺手法。

フィッシングの具体例

銀行を装ったメールに記載されたリンクをクリックすると、本物そっくりの偽のログイン画面が表示され、入力した情報が攻撃者に送信される。

フィッシングは試験でどう引っ掛けられる？

URLやドメインの微妙な違い（スペルミスや類似文字）に気づかず本物と誤認してしまう点が引っかけとして頻出。

フィッシングと関連する用語

• ソーシャルエンジニアリング
• ビジネスメール詐欺（BEC）

フィッシングが出た過去問

• 不正アクセス禁止法で規定されている、“不正アクセス行為を助長する行為の禁止”規定によって規制される行為はどれか。

  正解：業務その他正当な理由なく、他人の利用者IDとパスワードを正規の利用者及びシステム管理者以外の者に提供する。

  要点：他人のIDとパスワードを正当な理由なく渡すのが助長行為

  不正アクセス禁止法は、不正アクセス行為そのものに加え、他人の識別符号を正当な理由なく第三者へ提供する行為を「助長する行為」として禁じている。実際に不正アクセスが行われたかどうかにかかわらず提供した時点で対象となる点が特徴である。不正取得や不正保管、フィッシングサイトの開設は、それぞれ別の条文で規制される。

  出典：令和4年度 春期 応用情報技術者試験 午前 問78（IPA）

• SEOポイズニングの説明はどれか。

  正解：Web検索サイトの順位付けアルゴリズムを悪用して、検索結果の上位に、悪意のあるWebサイトを意図的に表示させる。

  要点：SEOポイズニングは検索上位に悪意あるサイトを表示させる

  SEOポイズニングは、検索エンジンの順位付けの仕組みを悪用し、利用者が検索しそうな語句で悪意のあるサイトを検索結果の上位に表示させる攻撃である。利用者は検索結果を信用してアクセスし、マルウェア感染やフィッシングの被害に遭う。

  出典：平成29年度 秋期 応用情報技術者試験 午前 問37（IPA）

• 企業のDMZ上で1台のDNSサーバを、インターネット公開用と、社内のPC及びサーバからの名前解決の問合せに対応する社内用とで共用している。このDNSサーバが、D…

  正解：社内の利用者が、インターネット上の特定のWebサーバにアクセスしようとすると、本来とは異なるWebサーバに誘導される。

  要点：DNSキャッシュポイズニングは偽の名前解決で別サイトへ誘導

  DNSキャッシュポイズニングは、DNSサーバのキャッシュに偽のドメイン名とIPアドレスの対応を覚え込ませる攻撃である。汚染されたキャッシュを参照した利用者は、正規のサイト名を入力しても攻撃者が用意した別のサーバへ誘導され、フィッシングやマルウェア感染の被害につながる。

  出典：平成30年度 春期 応用情報技術者試験 午前 問36（IPA）

• SEOポイズニングの説明はどれか。

  正解：Web検索サイトの順位付けアルゴリズムを悪用して、検索結果の上位に、悪意のあるWebサイトを意図的に表示させる。

  要点：SEOポイズニングは検索上位に悪意のサイトを表示させる

  SEOポイズニングは、検索エンジンの順位付けの仕組みを悪用して、マルウェア配布やフィッシングを行う悪意のあるサイトを検索結果の上位に表示させる手口である。利用者は検索結果を信用してクリックするため被害に遭いやすい。

  出典：令和2年度 10月 応用情報技術者試験 午前 問39（IPA）

• オープンリダイレクトを悪用した攻撃に該当するものはどれか。

  正解：Webサイトにアクセスすると自動的に他のWebサイトに遷移する機能を悪用し、攻撃者が指定した偽のWebサイトに誘導する。

  要点：オープンリダイレクトは正規サイトの転送機能で偽サイトへ誘導する

  オープンリダイレクトとは、外部から与えられたURLへ検証せずに転送してしまうWebサイトの脆弱性である。攻撃者はこの正規サイトのURLを入口に使い、利用者を気づかせないまま偽サイトへ誘導する。正規ドメインのリンクに見えるため利用者が信用しやすく、フィッシングの踏み台にされる。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問44（IPA）