ITパスポート 2016年 春期 問63

フィッシングの説明として、適切なものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「電子メールを装い」「偽サイトに誘導」「暗証番号やクレジットカード番号を不正に取得」などがあればフィッシングを疑う。
2. 各選択肢を次の観点で照合する：
   • 「だます（なりすまし）」→フィッシングの特徴
   • 「マルウェアの実行・遠隔操作」→別の攻撃手法（フィッシングとは異なる）
   • 「大量の通信で停止」→DDoS（別の攻撃）
   • 「辞書データでパスワードを割り出す」→辞書攻撃（別）
3. フィッシングに当てはまる説明を選ぶ。該当するのが イ ならそれが正解。

選択肢別の誤答解説

• ア: 「ウイルスに感染しているPCへ攻撃者がネットワークを利用して指令を送り、不正なプログラムを実行させること」
  • これは感染済みのコンピュータを遠隔操作する説明です。ボット（bot：感染して攻撃者の指令を受けるソフト）を使った「ボットネット（複数感染PCを束ねて利用する仕組み）」や、C&C（Command and Control：指令と制御）による遠隔操作と呼ばれる手口で、フィッシングとは異なります。
  • （用語）ウイルス（virus：自分を複製して広がる悪意のあるソフト）に関連する攻撃です。
• ウ: 「パスワードに使われそうな文字列を網羅した辞書のデータを使用してパスワードを割り出すこと」
  • これは辞書攻撃（dictionary attack）です。辞書にある単語やよく使われるパスワードを順に試してアカウントに不正ログインを試みる手法で、フィッシングの「なりすましメールで偽サイトへ誘導して情報を入力させる」というプロセスとは異なります。ブルートフォース攻撃（brute-force：総当たり）と似ていますが、辞書攻撃は「想定される語を使う点」が特徴です。
• エ: 「複数のコンピュータから攻撃対象のサーバへ大量のパケットを送信し、サーバの機能を停止させること」
  • これはDDoS（Distributed Denial of Service：分散型サービス妨害）攻撃です。大量の通信でサービスを使えなくするもので、情報をだまして入力させるフィッシングとは目的と手段が異なります。被害者はサービス停止であり、個人情報の窃取が直接の目的ではありません。

よくある誤解

1. 「フィッシングはウイルス感染と同じ」は誤り
   • フィッシングは主に『だます』ことで情報を取る手口です。ウイルスはソフトウェアを感染させて動作させる別の攻撃手段です。両者が組み合わされることはありますが、定義は別です。
2. 「本物そっくりのメール＝正しい」と思い込むこと
   • 見た目が似ていても送信元やURLを確認する習慣が重要です。偽装は高度に行われます。
3. 「URLが鍵マーク（SSL）があれば安全」とは限らない
   • SSL（通信の暗号化）を示す鍵マークがあっても、偽サイトが取得している場合があります。サイトのドメイン名（例：bank.example.com の example.com 部分）を確認する習慣が必要です。

補足コラム

• メールの差出人アドレスを確認する：表示名だけで判断せず、実際のメールアドレスを確認する習慣をつける。
• リンクは直接クリックしない：メール内のリンクはマウスオーバーで実際のURLを確認する。公式サイトはブックマークや自分で入力してアクセスする。
• 個人情報を要求するメールはまず疑う：金融機関は通常、メールでパスワードや暗証番号を要求しません。
• 2段階認証（2FA：Two-Factor Authentication：二つの要素で本人確認する仕組み）を有効にする：万が一パスワードが漏れても被害を減らせます。
• 企業側の防御技術：SPF（Sender Policy Framework：送信元メールサーバのなりすまし検出）、DKIM（DomainKeys Identified Mail：送信ドメインの改ざん検出）、DMARC（Domain-based Message Authentication, Reporting & Conformance：ポリシーと報告の仕組み）などでメールの信頼性向上が図られています。専門用語ですが、「送信元の正しさを確認する仕組み」と理解すれば十分です。

FAQ