ITパスポート 2012年 春期 問66

フィッシングへの対策に関する問題【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文の「フィッシングへの対策」に注目する。目的は「だまされない／偽サイトに入力させない」こと。
2. 各選択肢がその目的に直接役立つかを判定する。
   • a：サイトが本物かどうか（証明書確認）は偽サイトを見分ける上で有効 → 有効。
   • b：メールだけで判断せず別手段で確認することは、偽メール（フィッシング）を見抜く基本 → 有効。
   • c：パスワードの強化は総合的な安全対策だが、フィッシングでユーザーが自らパスワードを渡してしまう場合は防げない → フィッシング対策としては不十分。
3. a と b が適合する選択肢を選ぶ → ア（a, b）。

選択肢別の誤答解説

• ア（a, b）
  正しい組み合わせ。Webの接続と証明書の確認は偽サイトを見分ける基本で、メールの送信元を別の手段で確認することは典型的な対策です。
• イ（a, b, c）
  a と b は正しいが、c を追加している点が問題。c（強いパスワード）は重要だが「フィッシング対策としてだけ」を問うと直接的な答えになりません。出題の趣旨に合わせると過剰な選択です。
• ウ（a, c）
  a は正しいが b を含まないため不十分。フィッシングはメールなどで誘導されることが多く、送信元の確認（b）が欠けていると対策が弱いです。
• エ（b, c）
  b は有効だが a（サーバ証明書の確認）が含まれていないため不十分。偽サイトの見分けという観点で a は重要です。

よくある誤解

1. 「鍵マーク（鍵アイコン）があれば安心」
   鍵アイコンは通信が暗号化されていることを示しますが、暗号化されていてもサイト自体が偽物（正当なサービスになりすました悪意あるサイト）である場合があります。証明書の発行先（コモンネームや発行者）を確認する習慣が重要です。
2. 「強いパスワードがあればフィッシングは関係ない」
   強いパスワードはブルートフォース攻撃（総当たり）やリスト型攻撃に有効ですが、ユーザーが偽サイトに自らパスワードを入力してしまった場合は防げません。フィッシング対策は「だまされないこと」が中心です。
3. 「送信元アドレスが正しければ本物」
   メールの差出人は偽装（スプーフィング）できるため、表示されるアドレスだけで信頼してはいけません。本文中のリンクや電話番号も、そのメールだけで示されたものを使わず、公式サイトや契約書・カード裏の連絡先で確認しましょう。

補足コラム

• SSL とサーバ証明書の違い
  SSL（Secure Sockets Layer：通信を暗号化する仕組み）という言葉は古く、現在は改良版の TLS（Transport Layer Security）と呼ばれます。ブラウザの鍵マークは「通信が暗号化されている」ことを示します。さらに、証明書の「発行先」が正しい会社やドメインか（例：銀行名やドメインが一致するか）を確認すると偽サイトを見分けやすくなります。
• より有効な追加対策
  多要素認証（MFA：Multi-Factor Authentication、例：パスワード＋スマホに送られる一回限りのコード）は、万が一パスワードを盗まれても不正利用を防ぎやすく、フィッシング被害の軽減に非常に有効です。また、ブラウザやメールサービスのフィッシング警告機能や、SPF/DKIM/DMARC（メール送信者認証技術）による防御も補助になります。

FAQ