なりすましとは？なりすまし
なりすましとは、他人のIDとパスワードを不正に使ったり、実在する会社や上司を装ったりして、その本人であるかのようにふるまう行為をいう。ねらいは、本人にしか許されていない操作——送金、顧客名簿の閲覧、社内システムへのログイン、取引先への指示——を代わりに行うことである。業務で怖いのは、システムへの不正ログインだけでなく、取引先や自社の役員を装ったメールで振込先の変更を指示してくる手口で、受け取った側は正規の依頼と区別がつきにくい。防ぐ手立ては、パスワードだけに頼らず、スマートフォンへの確認コードなど2つ目の要素を足すこと（多要素認証）と、金銭や重要情報が動く依頼はメール以外の経路、たとえば登録済みの電話番号にかけ直して本人に確かめることである。
最終更新：2026-10-10
この語が出る過去問を解く →背景
業務のシステムは「正しいIDとパスワードで入ってきた人＝本人」という前提で動いており、操作の権限もその前提の上に配られている。だから本人だと信じ込ませることさえできれば、システムを壊さなくても送金も名簿の持ち出しもできてしまう。攻撃側が狙うのが技術的な穴ではなく人の思い込みへ移ってきたのはこのためで、取引先を装ったメールでの振込先変更はその典型である。試験でこの語が問われるのは、対策の向きを「中身を隠す」ではなく「相手が本人かを確かめる」側に取れるかどうかが、実務での被害の分かれ目になるからである。
具体例
取引先の担当者を名乗るメールで「振込先の銀行口座が変わりました」と連絡が来る手口が実際に多く報告されており、支払い担当者が気づかず送金してしまう被害につながる。日ごろから振込先の変更は、メールの返信ではなく、契約書に記載された電話番号に自分からかけて確かめる、と社内ルールで決めておくのが有効な対策になる。
試験での引っ掛け
なりすましは「手口の名前」ではなく「他人になりきる行為そのもの」である点をまず押さえる。フィッシング（偽サイトへ誘導してIDとパスワードを入力させる）やソーシャルエンジニアリング（電話や会話で聞き出す）は、なりすますためにIDを手に入れる手段であって、なりすましと並ぶ別の脅威ではない。もう一つ、対策として「通信の暗号化」を選ぶのは誤り。暗号化は通信の中身を盗み見られないようにするものであって、正しいパスワードで入ってきた相手が本人かどうかは判定できない。効くのは本人確認を強める側の対策である。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成21年度 春期 ITパスポート試験 問86（IPA）解説で登場
ディジタル署名に関する記述のうち、適切なものはどれか。
正解：データの改ざんが検知できる。
要点：ディジタル署名は改ざん検知と本人確認、盗聴防止はしない
ディジタル署名は、送信者が自分の秘密鍵で文書のハッシュ値を暗号化して付け、受信者が送信者の公開鍵で検証する仕組みである。受信側で計算したハッシュ値と一致しなければ内容が変わったと分かるため、改ざんの検知と送信者のなりすまし防止（否認防止）ができる。ただし本文自体は暗号化されないため、盗聴の防止はできない。
出典：平成22年度 秋期 ITパスポート試験 問55（IPA）解説で登場
データ通信における暗号化技術に関する記述のうち、適切なものはどれか。
正解：電子商取引などで使用されるディジタル署名には、公開鍵暗号の技術が使われている。
要点：ディジタル署名は公開鍵暗号を応用した本人確認の仕組み
ディジタル署名は、送信者が自分の秘密鍵で署名を作り、受信者が対応する公開鍵で検証する仕組みで、公開鍵暗号の技術を応用している。これにより送信者のなりすましと内容の改ざんを検出できる。
出典：平成22年度 春期 ITパスポート試験 問87（IPA）
攻撃者が、システムの利用者になりすましてシステム管理者に電話をかけ、パスワードを忘れたと言ってパスワードを初期化してもらい、システムに侵入した。このような行為を…
正解：ソーシャルエンジニアリング
要点：人をだまして情報を得る手口がソーシャルエンジニアリング
ソーシャルエンジニアリングは、技術的な手段ではなく人間の心理や行動の隙をついて情報を得る手口である。利用者になりすまして管理者を信用させ、パスワードを初期化させる行為はその典型といえる。防ぐには本人確認の手続を定めるなど、運用面のルール整備が有効である。
出典：平成23年度 秋期 ITパスポート試験 問60（IPA）
出典：平成25年度 秋期 ITパスポート試験 問27（IPA）解説で登場
不正アクセス禁止法において、規制されている行為はどれか。
正解：他人のネットワークアクセス用のIDとパスワードを、本人に無断でアクセス権限のない第三者に教えた。
要点：不正アクセス禁止法はID・パスワードの無断提供も規制する
不正アクセス禁止法は、他人の識別符号を使ったなりすまし侵入やセキュリティホールを突く侵入のほか、他人のIDやパスワードを正当な理由なく第三者に提供する行為（不正アクセスを助長する行為）も規制している。ウイルスの拡散や内部情報の持出し、内部告発は、それぞれ別の法令や社内規程で扱われる問題であり、この法律の規制対象ではない。
出典・参考
公式シラバスの9 技術要素 ＞ 61. 情報セキュリティ ＞ (3) 脅威と脆弱性に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。