スミッシング・ビッシングとは？すみっしんぐびっしんぐ
スミッシング・ビッシングとは、SMSを使ったフィッシングがスミッシング、音声通話を使うものがビッシング。メールの検査を素通りし、端末の狭い画面ではURLの真偽も見分けにくい。開発者にとっての本題は、こうして盗まれたIDが正規の経路でログインしてくる点で、DB側から見れば権限のある利用者による正常なSELECTとして記録されてしまう。
最終更新：2026-10-06
データベースSPを最短で暗記・合格する →背景
認証情報を守る防御が固くなるほど、攻撃は仕組みを破る側から人に頼む側へ移った。SMSも電話も発信元を偽れて、受け取る側にそれを検証する手立てがない。取られた後にどこまで漏れるかを決めるのはDB側の設計で、だからパスワードの保存形式と、1回のクエリで持ち出せる件数が実装上の論点になる。
具体例
不在通知を装うSMSのリンクから偽サイトへ誘導され、会員がIDとパスワードを入力してしまう。会員テーブルにパスワードを復元できる形で置いていれば被害はDB全体に及ぶため、bcryptやArgon2でハッシュ化して保存する。PostgreSQLならpgaudit拡張で、普段は数十行の照会が一度に数十万行を返した事実を残せる。
試験での引っ掛け
発信元の電話番号は容易に偽装でき、表示は信頼の根拠にならない。実装側で取り違えやすいのは、パスワードを「暗号化して保存する」という発想で、復号できる時点で鍵と一緒に漏れる。保存はハッシュで、TLSやTDEによる暗号化とは目的が別だと押さえる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。