フィッシングの試験問題への適用
通知・送金・SNSの事例から、信用してよい根拠と確認経路を選びます。入力した情報に応じた初動を考え、技術と業務の両方で再発防止を検討します。
この単元で学ぶこと
- フィッシングの誘導と情報窃取の仕組みを説明する
- 送信者表示やHTTPSだけを信用しない理由を説明する
- 独立した経路で真偽を確認する
- 入力した情報に応じた初動を選ぶ
本文解説
宅配通知を受けたら SMSに再配達のためカード情報を入力するよう書かれている場合、通知のリンクから真偽を調べると同じ誘導の中に留まります。配送を依頼した業者の公式アプリなどを自分で開き、配送状況を確認します。QRコードから開いたページでも、入口の形式が違うだけで、要求を無条件に信用できるわけではありません。
上司の緊急送金依頼 上司名のメールが秘密厳守と即時送金を求め、承認省略を指示したとします。表示名や正しい役職から本物と決めず、既知の内線などで確認します。メールに新しく書かれた番号は攻撃者側の可能性があるため、確認経路として独立していません。送金は通常の承認手順に従います。
知人からコードを聞かれたら 普段使うSNSの知人から、投票に必要なので認証コードを教えてほしいと言われても、コードは伝えません。今の操作者が以前と同じとは限らないためです。別の連絡方法で知人へ確認します。短い有効期限は安全の保証ではなく、その時間内に使われれば本人確認に悪用され得ます。
個別化された画面の評価 氏名や勤務先が一致し、会社のロゴもあり、自然な日本語でも、公開情報を使った偽装は可能です。リンクの表示文字と移動先も分けて考えます。正しい相手だと確認できない間は、ログインを試すためにパスワードを入れません。入力して動作を確かめる行為そのものが情報の提供になります。
入力エラーでも対処する 業務パスワードを入力した後にエラーが出ても、相手が受信後にエラーを表示した可能性があります。公式経路で変更し、入力内容の種類や時刻、実施した操作を報告します。ブラウザの履歴や受信メールを消しても、すでに相手へ送った情報は消えません。証拠の扱いは組織の手順に従います。
復旧先を確認する 不正ログイン後にパスワードを変更できても、登録連絡先や認証設定が攻撃者側へ変わっていないか確認します。不審なログイン状態がある場合は、サービスの手順で終了等の対処を行います。ログインや通常の再設定ができなければ、公式ヘルプの復旧手順や提供者の窓口を利用します。
情報の種類で対応を変える カード情報を渡したケースでは、ログインパスワードの変更だけでカード利用を止められるわけではありません。公式経路でカード会社へ速やかに相談します。受信だけ、リンクを開いた、情報を入力した、アプリを入れた、という行動を区別し、根拠なく全被害を確定したり、状況を確認せず放置したりしません。
再発防止を業務へ戻す 訓練ではクリックの有無だけでなく、気付いた後にどこへどれだけ早く報告できるかを確かめます。技術的な検知を見直し、支払前の別経路確認や承認手順が守れるかも検討します。報告者を責めて報告を減らす運用は、発見を遅らせるおそれがあります。実際の被害を抑える行動に結び付けます。
図解
重要ポイント
- 見た目やHTTPSだけでは、意図した依頼者の証明にならない。
- 不審な通知のリンク・番号とは独立した公式経路で確認する。
- 入力情報と操作を報告し、対象に合う保護・復旧を始める。
間違えやすい点
- 一度限りの認証コードでも他人に伝えない。
- 画面のエラー表示を情報未取得の証拠にしない。
- 技術対策や研修のどれか一つだけに依存しない。
用語解説
- フィッシング
- 信用できる相手を装って偽の連絡先や画面へ誘導し、認証情報等をだまし取る手口。
- ソーシャルエンジニアリング
- 人の信頼や心理、行動の隙を利用して情報や不正な操作を引き出す手法。
- 多要素認証
- 知識・所持・生体など異なる種類の要素を組み合わせて本人を確認する方式。
- ワンタイムパスワード
- 一度の認証のために生成するコード。通常は有効期限もあり、使用前の窃取・不正利用には注意が必要。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。