フィッシングを理解する
本物らしい連絡でも、要求どおりに操作する前に立ち止まれるよう、誘導の仕組みを学びます。宅配通知や業務連絡を例に、確認の経路と情報を渡した後の対応を分けて考えます。
この単元で学ぶこと
- フィッシングの誘導と情報窃取の仕組みを説明する
- 送信者表示やHTTPSだけを信用しない理由を説明する
- 独立した経路で真偽を確認する
- 入力した情報に応じた初動を選ぶ
本文解説
信用を利用して情報を渡させる フィッシングは、企業や知人などを装い、偽のログイン画面や連絡先へ誘導して情報を盗む手口です。パスワードを機械的に推測する攻撃とは異なり、利用者自身が本物と思って情報を渡してしまいます。メール、SMS、SNSのメッセージなどが入口になります。誘導文、移動先、要求される情報を分けて考えます。
不安・権威・急がせる言葉 「利用を停止する」「上司の指示」「今すぐ確認」という言葉は、普段の確認を省かせるために利用されます。自分の氏名や業務を知っていても、それだけで本人とは決まりません。公開情報や漏えい情報を取り込んだ個別の誘導もあります。依頼の緊急性を、確認を省略する理由にしないことが重要です。
見た目と送信者は別 ロゴ、正しい日本語、送信者の表示名は模倣できます。リンクに「公式」と書かれていても、実際の移動先は別に設定できます。QRコードや短縮URLでも同じ問題があります。見た目の不自然さに気付くことは手掛かりになりますが、不自然さがないことは本物の証明になりません。
HTTPSが保護する範囲 HTTPSは接続先との通信を保護する仕組みです。しかし、攻撃者のサイトにもHTTPSを設定できます。偽の接続先へ暗号化して情報を送れば、その接続先は情報を受け取ります。ブラウザの通信保護の表示だけで、意図した銀行や取引先が運営するサイトであると判断してはいけません。
独立した経路で確認する 不審な通知にあるリンクや電話番号を、その通知の真偽確認に使うと、再び攻撃者につながる可能性があります。以前から使用している公式アプリや登録済みの公式サイトを自分で開きます。業務上の依頼なら、既知の内線や窓口で依頼者へ確認し、既存の承認手順を維持します。
認証コードも秘密情報 一度限りのコードでも、有効な間に使われれば不正ログインにつながります。知人が頼んできても、相手のアカウントが乗っ取られているかもしれません。自分が始めていない認証の承認通知を、止めるために承認してはいけません。多要素認証はパスワードだけでの侵入を抑えますが、方式と運用に応じた注意も必要です。
入力した場合の初動 パスワードを渡したら、公式経路から速やかに変更し、業務では指定窓口へ報告します。使い回したサービスにも対処し、登録連絡先や認証設定、不審なログイン状態を確認します。カード情報ならカード会社へ相談します。画面がエラーでも情報は取得され得るため、成功表示の有無だけで判断しません。
人と仕組みを組み合わせる メールフィルター等は補助防御であり、未検知の可能性があります。受信後の操作を確認し、必要な情報を組織の手順で保存・報告します。不審なリンクを同僚へ開かせて確認する方法は避けます。技術的な防御、支払や認証の確認手順、責められずに早く報告できる運用を重ねます。
図解
重要ポイント
- 見た目やHTTPSだけでは、意図した依頼者の証明にならない。
- 不審な通知のリンク・番号とは独立した公式経路で確認する。
- 入力情報と操作を報告し、対象に合う保護・復旧を始める。
間違えやすい点
- 一度限りの認証コードでも他人に伝えない。
- 画面のエラー表示を情報未取得の証拠にしない。
- 技術対策や研修のどれか一つだけに依存しない。
用語解説
- フィッシング
- 信用できる相手を装って偽の連絡先や画面へ誘導し、認証情報等をだまし取る手口。
- ソーシャルエンジニアリング
- 人の信頼や心理、行動の隙を利用して情報や不正な操作を引き出す手法。
- 多要素認証
- 知識・所持・生体など異なる種類の要素を組み合わせて本人を確認する方式。
- ワンタイムパスワード
- 一度の認証のために生成するコード。通常は有効期限もあり、使用前の窃取・不正利用には注意が必要。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。