フィッシング詐欺とは？

フィッシング詐欺の意味

実在する金融機関や企業を装った偽の電子メールやWebサイトへ誘導し、ID・パスワードやクレジットカード番号などの個人情報を入力させて盗み取る詐欺手法。

フィッシング詐欺の具体例

銀行を名乗るメールに記載されたリンクをクリックすると、本物そっくりに作られた偽のログインページが表示され、そこに入力したID・パスワードが攻撃者に送信されてしまう。

フィッシング詐欺は試験でどう引っ掛けられる？

偽メールなどで利用者を偽サイトへ誘導する手口。正しいURLを入力したのにDNSを書き換えられて偽サイトへ飛ばされる「ファーミング」や、特定の組織だけを狙い撃つ標的型攻撃メールとの区別が問われるので、誘導の手段で見分ける。

フィッシング詐欺と関連する用語

• 標的型攻撃とソーシャルエンジニアリング

フィッシング詐欺が出た過去問

• A社はIT開発を行っている従業員1,000名の企業である。総務部50名、営業部50名で、ほかは開発部に所属している。開発部員の9割は客先に常駐している。現在、A…

  正解：(一), (五)

  要点：BYODのVPN許可は接続増と私物端末経由の拡散が主リスク

  個人所有PCからのVPN接続を許可すると、これまで接続していなかった客先常駐開発部員の分だけ接続数が増え、回線やVPNサーバの負荷が上がって可用性が損なわれるおそれがあります（一）。また会社が管理していない私物PCが社内ネットワークにつながるため、マルウェアに感染した端末経由で社内へ拡散するリスクが新たに生じます（五）。A社PCの紛失は貸与していない部員には当てはまらず、総務部員の個人所有PC接続は今回の許可対象外です。

  出典：令和4年度 s 基本情報技術者試験 kamokuB 問18（IPA）

• A社は、放送会社や運輸会社向けに広告制作ビジネスを展開している。A社は、人事業務の効率化を図るべく、人事業務の委託を検討することにした。A社が委託する業務(以下…

  正解：B業務に従事する従業員が、攻撃者からの電子メールを複合機からのものと信じて本文中にあるURLをクリックし、フィッシングサイトに誘導される。その結果、A社の採用予定者の個人情報が漏えいする。

  要点：初期設定が公開だとなりすましメールを作られる

  複合機の初期設定情報はベンダーのサイトで公開されているため、差出人・件名・本文・添付ファイル名の書式を攻撃者が知ることができる。そのため複合機からの通知になりすました電子メールを容易に作れ、受け取った従業員が本文のURLを本物と信じてクリックしてしまう恐れがある。フィッシングサイトで利用者IDとパスワードを詐取されれば、採用予定者の個人情報の漏えいにつながる。このリスクを断つために初期設定からの変更が必要と評価された。

  出典：令和5年度 （公開問題） 基本情報技術者試験 kamokuB 問6（IPA）