ITパスポート試験 ITパスポート 2016年 (平成28年 春期) 問63: フィッシングの説明として,適切なものはどれか。

正解

イ. 金融機関などからの電子メールを装い,偽サイトに誘導して暗証番号やクレジットカード番号などを不正に取得すること

正答率 49.9%（1,688人中 843人が正解）

問題の解説

フィッシング(Phishing)は,金融機関,カード会社,有名サービス事業者などをかたるメールやSMSで利用者を偽サイトへ誘導し,本物そっくりな画面で暗証番号,パスワード,クレジットカード番号,個人情報などをだまし取る攻撃である. 巧妙な文面・URL偽装・公式サイトを模した画面が特徴. 感染PCに指令を送るのはボットによる遠隔操作(C&Cサーバ通信),辞書データでパスワードを割り出すのは辞書攻撃,複数PCから大量パケットを送りサーバ機能を停止させるのはDDoS攻撃であり,それぞれフィッシングとは別の攻撃手口に分類される.

選択肢ごとの解説

• ア誤り. ウイルスに感染しているPCへ攻撃者がネットワークを利用して指令を送り不正なプログラムを実行させるのは,ボットによる遠隔操作の説明である. C&Cサーバを介した指令で多数の感染端末を踏み台にする攻撃で,正規組織を装って利用者から情報をだまし取るフィッシングとは別の攻撃手法である.
• イ正しい. 金融機関などからの電子メールを装い,偽サイトに誘導して暗証番号やクレジットカード番号などを不正に取得するのは,フィッシングの典型的な手口の説明である. 本物そっくりな画面とURLで利用者を錯誤させ情報をだまし取る攻撃であり,本選択肢が問題文の趣旨と直接合致するため正解となる.
• ウ誤り. パスワードに使われそうな文字列を網羅した辞書のデータを用いてパスワードを割り出すのは,辞書攻撃(Dictionary Attack)の説明である. パスワード強度の低さを突く攻撃手法で,メールやWebサイトで利用者をだまして情報を抜き取るフィッシングとは別の攻撃に分類される.
• エ誤り. 複数のコンピュータから攻撃対象のサーバへ大量のパケットを送信し,サーバの機能を停止させるのは,DDoS攻撃(分散サービス妨害攻撃)の説明である. 可用性を侵害する攻撃手法で,個人情報の詐取を目的とするフィッシングとは攻撃の目的と手法が異なるため本選択肢は不適切である.