なりすましとは？

なりすましの意味

他人のID・パスワードなどを不正に使い、その人物であるかのように振る舞ってシステムやサービスを利用する行為。

なりすましの具体例

盗んだIDとパスワードでSNSアカウントに不正ログインし、本人になりすまして不適切な投稿を行う、といった被害が該当する。

なりすましは試験でどう引っ掛けられる？

手口の名前ではなく「他人になりきる行為」そのもの。ソーシャルエンジニアリングやフィッシングは、なりすますための手段という関係になる。対策は通信の暗号化ではなく、多要素認証など本人確認の強化である点を押さえる。

なりすましと関連する用語

• フィッシング
• 多要素認証

なりすましが出た過去問

• ディジタル署名に関する記述のうち、適切なものはどれか。

  正解：データの改ざんが検知できる。

  要点：ディジタル署名は改ざん検知と本人確認、盗聴防止はしない

  ディジタル署名は、送信者が自分の秘密鍵で文書のハッシュ値を暗号化して付け、受信者が送信者の公開鍵で検証する仕組みである。受信側で計算したハッシュ値と一致しなければ内容が変わったと分かるため、改ざんの検知と送信者のなりすまし防止（否認防止）ができる。ただし本文自体は暗号化されないため、盗聴の防止はできない。

  出典：平成21年度 春期 ITパスポート試験 問86（IPA）

• データ通信における暗号化技術に関する記述のうち、適切なものはどれか。

  正解：電子商取引などで使用されるディジタル署名には、公開鍵暗号の技術が使われている。

  要点：ディジタル署名は公開鍵暗号を応用した本人確認の仕組み

  ディジタル署名は、送信者が自分の秘密鍵で署名を作り、受信者が対応する公開鍵で検証する仕組みで、公開鍵暗号の技術を応用している。これにより送信者のなりすましと内容の改ざんを検出できる。

  出典：平成22年度 秋期 ITパスポート試験 問55（IPA）

• 攻撃者が、システムの利用者になりすましてシステム管理者に電話をかけ、パスワードを忘れたと言ってパスワードを初期化してもらい、システムに侵入した。このような行為を…

  正解：ソーシャルエンジニアリング

  要点：人をだまして情報を得る手口がソーシャルエンジニアリング

  ソーシャルエンジニアリングは、技術的な手段ではなく人間の心理や行動の隙をついて情報を得る手口である。利用者になりすまして管理者を信用させ、パスワードを初期化させる行為はその典型といえる。防ぐには本人確認の手続を定めるなど、運用面のルール整備が有効である。

  出典：平成22年度 春期 ITパスポート試験 問87（IPA）

• 受信した電子メールにPKI（公開鍵基盤）を利用したディジタル署名が付与されている場合に判断できることだけを全て挙げたものはどれか。 a 電子メールの添付ファイル…

  正解：c, d

  要点：ディジタル署名が示すのは本人性と改ざんの有無だけ

  ディジタル署名は、送信者の秘密鍵で作られ、受信者が公開鍵で検証する仕組みである。これにより、送信者が確かに本人であること（なりすましでないこと）と、内容が途中で改ざんされていないことを確認できる。一方、署名は本文を暗号化するものではないため盗聴を防ぐ効果はなく、添付ファイルの安全性を保証するものでもない。したがってcとdが正しい。

  出典：平成23年度 秋期 ITパスポート試験 問60（IPA）

• 不正アクセス禁止法において、規制されている行為はどれか。

  正解：他人のネットワークアクセス用のIDとパスワードを、本人に無断でアクセス権限のない第三者に教えた。

  要点：不正アクセス禁止法はID・パスワードの無断提供も規制する

  不正アクセス禁止法は、他人の識別符号を使ったなりすまし侵入やセキュリティホールを突く侵入のほか、他人のIDやパスワードを正当な理由なく第三者に提供する行為（不正アクセスを助長する行為）も規制している。ウイルスの拡散や内部情報の持出し、内部告発は、それぞれ別の法令や社内規程で扱われる問題であり、この法律の規制対象ではない。

  出典：平成25年度 秋期 ITパスポート試験 問27（IPA）