基本情報技術者 2013年 春期 午前（科目A） 問38

フィッシング攻撃【午前解説】

正解の理由

解法ステップ

1. 手順の目的を確認：何を達成しようとしているか（例：認証情報の入手）。
2. 手段を確認：どのように実行しているか（偽サイト＋メールで誘導）。
3. 定義と照合：目的と手段が一致する攻撃の定義（フィッシング＝偽サイトでの情報詐取）と照合する。
4. 他選択肢との違いを検証：DDoSはサービス妨害、ボットは自動化された端末、メールヘッダ攻撃はヘッダ改ざんである点で不一致を確認する。

選択肢別の誤答解説

• ア: DDoS攻撃
  誤り。DDoSはサービスを停止させるために大量のトラフィックを送る攻撃であり、偽サイトで認証情報を盗む目的とは合致しません。
• イ: フィッシング
  正解。メールで偽サイトへ誘導し、認証情報を入力させて盗む点がフィッシングの典型です。イが最適解です。
• ウ: ボット
  誤り。ボットは自動化されたプログラムや感染端末群（ボットネット）を指し、攻撃手法そのもの（偽サイト誘導＋情報詐取）とは異なります。
• エ: メールヘッダインジェクション
  誤り。メールヘッダインジェクションはメール送信システムのヘッダを改ざん・注入する問題で、本文のURL誘導と偽サイトでの情報入力という手順とは一致しません。

よくある誤解

• 「偽サイト＝マルウェア配布」と決めつける誤解：偽サイトはマルウェアを配布する場合もありますが、認証情報を盗むだけのフィッシングも多く、目的を見誤ると解答を誤ります。
• 「メールがある＝メールヘッダの改変攻撃（メールヘッダインジェクション）」と混同する誤解：本文のURL誘導と偽サイトへの認証入力が主旨であり、ヘッダ改変の説明には一致しません。
• 「大量送信＝DDoSやボット攻撃」と混同する誤解：大量送信や自動化はボットやDDoSに関連しますが、本問は個別誘導と情報詐取が焦点です。

補足コラム

FAQ