フィッシング（スミッシングほか）
更新日:
用語解説
フィッシングは、実在する組織や人物になりすましたメール、SMS、Webサイト、通話等で利用者を欺き、認証情報、カード情報、金銭を取得したり、マルウェアを実行させたりする詐欺手法です。
■ 試験で押さえるポイント
メール型のほか、SMSを使うスミッシング、音声通話を使うビッシング、QRコードを使う手口、検索結果や広告から偽サイトへ誘導する手口があります。
表示名、ロゴ、HTTPSの鍵表示だけでは正当性を保証しません。送信ドメイン、リンク先、文脈を確認し、登録済みの公式アプリ・ブックマーク・連絡先を使います。
メール認証、URL・添付検査、Webフィルタ、教育と報告窓口を整え、FIDO/WebAuthn等の接続先へ結び付くフィッシング耐性認証を用います。
被害時はパスワード変更だけでなく、セッション、APIキー、MFA登録を失効し、メール転送規則、ログ、送金等の不正操作を調べます。
■ 過去問での着眼点
偽の主体・画面で利用者自身に秘密や操作を差し出させる点が中心です。DNS汚染による誘導はファーミング、特定個人向けはスピアフィッシングです。
例: 宅配業者を装うSMSのリンクへ暗証情報を入力せず、公式アプリを自分で開いて配送状況を確認します。報告されたURLは組織全体で遮断します。