フィッシング対策

フィッシングとは

フィッシング(Phishing)は、実在の企業やサービスになりすました偽のメールやメッセージで偽サイトへ誘導し、パスワードやカード情報を入力させて盗む詐欺です。技術的な弱点ではなく人の思い込みや焦りを突く攻撃で、被害件数は攻撃の中でも群を抜いて多いのが実情です。

盗まれた認証情報は不正ログインに使われるほか、偽の添付ファイルから [[マルウェアの種類と対策]] で扱う感染につながるケースも多く、攻撃全体の「入口」になっています。

代表的な手口

偽メール — 「アカウントが停止されます」「荷物が届けられません」など緊急を装い、リンクを踏ませる
偽サイト — 本物そっくりのログイン画面で ID・パスワードを入力させる
スミッシング — SMS を使ったフィッシング。宅配便の不在通知の偽装が典型
標的型メール — 特定の組織・人物に合わせて業務メールを装う、見抜きにくい攻撃

対策の基本

個人でできること

メールやSMSのリンクからログインしない — ブックマークや公式アプリから開く習慣が最強の対策です
「至急」「アカウント停止」など焦らせる文面こそ疑う
[[多要素認証]] を有効化する — 特にパスキーはフィッシング耐性が高い方式です
パスワードの使い回しをやめる(1件の漏えいが全滅につながるため)

組織・サービス側の対策

送信ドメイン認証(SPF・DKIM・DMARC): 自社ドメインをかたる偽メールを受信側で見破れるようにする仕組み([[メールの仕組み(SMTP・POP3・IMAP)]])
訓練メールによる従業員教育と、報告しやすい窓口づくり
偽サイトのテイクダウン(閉鎖依頼)や、[[DNS]] レベルでの悪性サイトブロック

初学者向けポイント

「自分は騙されない」という自信が一番の隙です。巧妙な標的型は専門家でも見抜けないことがあります
URL の見た目は偽装できます。「リンクを踏んでから確かめる」のではなく「そもそも正規の入口から入る」に切り替えましょう
入力してしまったら、すぐパスワード変更と関係先への連絡を。恥ずかしがって隠すことが被害を広げます

関連技術とのつながり

[[マルウェアの種類と対策]] — フィッシングは感染の最大の入口
[[多要素認証]] — 認証情報が盗まれた後の被害を食い止める
[[メールの仕組み(SMTP・POP3・IMAP)]] — 送信ドメイン認証を理解する土台
[[DNS]] — 偽サイトのブロックやドメインの仕組みに関わる
[[電子証明書とPKI]] — 鍵マークが保証するのはドメインの持ち主までで、偽サイトでも証明書は取得できる

Q: フィッシングの説明として正しいのはどれ?
- [ ] サーバーの脆弱性を直接突いてデータを盗む攻撃
- [x] 偽のメールやサイトで本人に認証情報を入力させて盗む詐欺
- [ ] 大量の通信でサービスを停止させる攻撃
解説: フィッシングは技術的な弱点ではなく、人の思い込みや焦りを突いて情報を入力させる詐欺です。

Q: 個人でできる対策として最も効果的な習慣はどれ?
- [ ] メール内のリンクからすばやくログインする
- [ ] 同じパスワードを覚えやすく使い回す
- [x] ブックマークや公式アプリなど正規の入口からログインする
解説: リンクの見た目は偽装できるため、そもそもメールのリンクからログインしない習慣が最も確実です。

Q: SPF・DKIM・DMARCの目的はどれ?
- [x] 自社ドメインをかたる偽メールを受信側で見破れるようにする
- [ ] メールの通信速度を上げる
- [ ] メールボックスの容量を増やす
解説: これらは送信ドメイン認証の仕組みで、なりすましメールの検出に使われます。