なりすましとは？

なりすましの意味

他人のID・パスワードなどを不正に使い、その人物であるかのように振る舞ってシステムやサービスを利用する行為。

なりすましの具体例

盗んだIDとパスワードでSNSアカウントに不正ログインし、本人になりすまして不適切な投稿を行う、といった被害が該当する。

なりすましは試験でどう引っ掛けられる？

手口の名前ではなく「他人になりきる行為」そのもの。ソーシャルエンジニアリングやフィッシングは、なりすますための手段という関係になる。対策は通信の暗号化ではなく、多要素認証など本人確認の強化である点を押さえる。

なりすましと関連する用語

• フィッシング
• 多要素認証

なりすましが出た過去問

• Webシステムのパスワードを忘れたときの利用者認証において合い言葉を使用する場合，合い言葉が一致した後の処理のうち，セキュリティ上最も適切なものはどれか。

  正解：あらかじめ登録された利用者のメールアドレス宛てに，パスワード再登録用ページへアクセスするための，推測困難なURLを送信する。

  要点：再設定は登録済みアドレスへ推測困難なURLを送る

  現パスワードをメールで送る運用は、そもそもパスワードを復元可能な形で保存していることを意味し、経路上での盗み見の危険も伴う。また、その場で入力された新しいメールアドレスへ送ると、なりすましにそのまま渡してしまう。あらかじめ登録済みのアドレス宛てに、推測困難な再設定用URLを送る方式が最も安全である。

  出典：平成28年度 春期 基本情報技術者試験 午前 問40（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において、“エンティティは、それが主張するとおりのものであるという特性”と定義され…

  正解：真正性

  要点：真正性はエンティティが主張どおり本物であるという特性

  真正性（authenticity）は、利用者やシステムなどのエンティティが、自ら主張するとおりの本人・本物であるという特性である。認証によって確保され、なりすましを防ぐことにつながる。

  出典：平成30年度 春期 基本情報技術者試験 午前 問39（IPA）

• A社は、放送会社や運輸会社向けに広告制作ビジネスを展開している。A社は、人事業務の効率化を図るべく、人事業務の委託を検討することにした。A社が委託する業務(以下…

  正解：B業務に従事する従業員が、攻撃者からの電子メールを複合機からのものと信じて本文中にあるURLをクリックし、フィッシングサイトに誘導される。その結果、A社の採用予定者の個人情報が漏えいする。

  要点：初期設定が公開だとなりすましメールを作られる

  複合機の初期設定情報はベンダーのサイトで公開されているため、差出人・件名・本文・添付ファイル名の書式を攻撃者が知ることができる。そのため複合機からの通知になりすました電子メールを容易に作れ、受け取った従業員が本文のURLを本物と信じてクリックしてしまう恐れがある。フィッシングサイトで利用者IDとパスワードを詐取されれば、採用予定者の個人情報の漏えいにつながる。このリスクを断つために初期設定からの変更が必要と評価された。

  出典：令和5年度 （公開問題） 基本情報技術者試験 kamokuB 問6（IPA）