フィッシングとは？ふぃっしんぐ
フィッシングとは、実在する金融機関や取引先、社内システムを装ったメールやSMSで偽サイトへ誘導し、ID・パスワードやワンタイムパスワード、カード情報を入力させて盗み取る手口。SMSを使うものはスミッシングと呼び分ける。
最終更新：2026-10-06
この語が出る過去問を解く →背景
認証情報は、システムを破らなくても本人に入力させれば手に入る。技術的な守りが固くなるほど、攻撃の狙いは仕組みの弱点から人の判断の隙へ移っていく。だから対策は注意喚起だけでは足りず、偽サイトでは原理的に成立しない認証方式へ寄せる方向へ進んでいる。支援士では、この設計側の打ち手が問われる。
具体例
送信側の対策としては、自社ドメインをかたるメールを受け取らせないようDMARCのポリシーをrejectで公開する。利用者の認証側では、接続先のドメインを署名の対象に含めるFIDO2やパスキーを使えば、偽サイトでは署名が成立せず認証が通らない。
試験での引っ掛け
URLやドメインの微妙な差（似た文字・サブドメインの偽装）を見抜けるかを問う出題が定番。加えて、ワンタイムパスワードを入れれば安全という前提は誤りで、攻撃者が偽サイトと本物のサイトの間で入力値を即座に中継する手口には通用しない。止められるのは、接続先ドメインを検証する方式のほう。
関連用語
出た過去問
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16（IPA）解説で登場
IEEE 802.1Xで使われるEAP-TLSが行う認証はどれか。
正解：ディジタル証明書による認証サーバとクライアントの相互認証
要点：EAP-TLSは証明書によるサーバ・クライアントの相互認証
EAP-TLSは、IEEE 802.1XのEAP方式のうち、認証サーバとクライアントの双方がディジタル証明書を提示して相互に認証する方式である。パスワードを用いないため辞書攻撃やフィッシングに強い一方、全クライアントに証明書を配布・管理する運用負荷が生じる。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。