フィッシングとは？

フィッシングの意味

実在する銀行や企業などになりすましたメールやWebサイトを使って、利用者を騙してID・パスワードやクレジットカード番号などを入力させ、盗み取る攻撃手法。

フィッシングの具体例

「アカウントが停止されます」という偽の銀行メールから、本物そっくりの偽サイトに誘導され、そこにログイン情報を入力してしまい情報を盗まれる。

フィッシングは試験でどう引っ掛けられる？

URLをよく確認する、公式サイトからブックマーク経由でアクセスするなどが基本対策として問われる。

フィッシングと関連する用語

• ソーシャルエンジニアリング

フィッシングが出た過去問

• 銀行やクレジットカード会社などを装った偽のWebページを開設し、金融機関や公的機関などを装った偽の電子メールなどで、利用者を巧みに誘導して、暗証番号やクレジット…

  正解：フィッシング

  要点：フィッシングは偽サイトへ誘導し情報を入力させる手口

  フィッシングは、実在する金融機関などをかたるメールで偽サイトへ誘い込み、利用者自身に暗証番号やカード番号を入力させて盗み取る手口である。システムの弱点を突くのではなく、利用者の思い込みを利用する点が特徴になる。

  出典：平成22年度 秋期 ITパスポート試験 問75（IPA）

• フィッシングの説明として，最も適切なものはどれか。

  正解：偽の電子メールを送信するなどして，受信者を架空のWebサイトや実在しているWebサイトの偽サイトに誘導し，情報を不正に取得する。

  要点：フィッシングは偽サイトへ誘導して本人に情報を入力させる

  フィッシングは、金融機関などを装った偽のメールやメッセージで利用者を偽サイトへ誘導し、そこでIDやパスワード、クレジットカード番号などを入力させて盗み取る手口である。本物そっくりの画面を用意して利用者自身に入力させる点が特徴で、システムの脆弱性を突く攻撃や常駐プログラムによる情報窃取とは手口が異なる。

  出典：平成23年度 秋期 ITパスポート試験 問87（IPA）

• a～cのうち、フィッシングへの対策として、適切なものだけを全て挙げたものはどれか。 a Webサイトなどで、個人情報を入力する場合は、SSL接続であること、及び…

  正解：a, b

  要点：フィッシング対策の要は接続先の正当性確認。パスワード強化では防げない

  フィッシングは、本物そっくりの偽サイトへ誘導して認証情報などを入力させる詐欺である。aのSSL接続とサーバ証明書の確認は接続先が本物かを見抜く直接的な対策、bの別手段による真偽確認も誘導メールに対する有効な対策である。cのパスワードを長く複雑にすることは総当たり攻撃には有効だが、本人が偽サイトへ入力してしまうフィッシングでは効果がない。

  出典：平成24年度 春期 ITパスポート試験 問66（IPA）

• 情報システムに対する攻撃のうち，あるIDに対して所定の回数を超えてパスワードの入力を間違えたとき，当該IDの使用を停止させることが有効な防衛手段となるものはどれ…

  正解：総当たり攻撃

  要点：総当たり攻撃にはアカウントロックが有効

  総当たり攻撃は、考えられるパスワードを次々に試して正解を探す手口なので、誤入力が一定回数続いたらアカウントを停止する仕組みが有効に働く。DoS攻撃やSQLインジェクション、フィッシングは、いずれもパスワードの試行回数制限とは対策の性質が異なる。

  出典：平成28年度 秋期 ITパスポート試験 問83（IPA）

• フィッシングの説明として、適切なものはどれか。

  正解：金融機関などからの電子メールを装い、偽サイトに誘導して暗証番号やクレジットカード番号などを不正に取得すること

  要点：フィッシングは偽メール・偽サイトで本人に情報を入力させる

  フィッシングは、実在する金融機関や事業者を装ったメールなどで偽サイトへ誘い込み、利用者自身に暗証番号やカード番号を入力させて詐取する手口である。利用者を信じ込ませて情報を入力させる点が特徴。遠隔から指令を送る手口はボット、辞書データによる推測は辞書攻撃、大量のパケットで停止させるのはDDoS攻撃である。

  出典：平成28年度 春期 ITパスポート試験 問63（IPA）