問87
頻出度★★★
フィッシングの説明として, 最も適切なものはどれか。
平成23年度 秋期 ITパスポート試験 問87
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 87
不正解ア
これはボット（ボットネット）の説明です。ボットに感染した PC は攻撃者の指令サーバとひそかに通信し、外部から遠隔操作されて迷惑メールの大量送信や他サイトへの攻撃の踏み台にされます。この記述はマルウェアへの感染がすでに成立していることを前提とし、感染した機器そのものを外部から操ることを問題にしています。一方フィッシングは、利用者の PC が感染しているかどうかとは無関係に成立し、盗むのは機器の操作権ではなく利用者が自分で入力した情報です。出発点も奪う対象も異なります。
- イ
正解 フィッシング（Phishing）とは、実在する銀行・クレジットカード会社・通販サイトなどになりすました偽の電子メールやショートメッセージを送りつけ、本文中のリンクから受信者を偽の Web サイトへ誘導して、利用者 ID、パスワード、クレジットカード番号といった重要な情報を自分の手で入力させ、だまし取る手口です。ポイントは二つあります。第一に、きっかけが「偽の連絡による誘導」であること。第二に、盗む方法が装置への侵入ではなく、本物そっくりの画面を信じ込ませて利用者自身に入力させるという、人の心理を突く手口だということです。誘導先は、実在しない架空のサイトの場合もあれば、正規サイトの画面をそのまま複製した偽サイトの場合もあります。イ は「偽の電子メールを送信するなどして」「受信者を架空の Web サイトや実在している Web サイトの偽サイトに誘導し」「情報を不正に取得する」と、この誘導と詐取の流れをそのまま述べており、フィッシングの定義と完全に一致します。したがって最も適切な説明は イ です。
不正解ウ
これはクロスサイトスクリプティング（XSS）の説明です。掲示板や検索結果のように、利用者が入力した文字列をそのままブラウザに表示する Web ページで、入力の無害化処理が不十分だと、攻撃者が仕込んだスクリプトが他の閲覧者のブラウザ上で実行され、Cookie などの情報が盗まれます。これは正規の Web サイト側にあるプログラムの脆弱性を突く技術的な攻撃であり、偽サイトを作って利用者を誘い込む手口ではありません。フィッシングは正規サイトに脆弱性がなくても成立する点が決定的に違います。
不正解エ
これはスパイウェア（キーロガーを含む）の説明です。利用者に気づかれないよう PC に常駐し、保存されているファイルの内容やキーボード入力・操作履歴を収集して外部へ送信します。情報を盗むという目的はフィッシングと同じですが、手段が違います。スパイウェアは PC 内部に不正なプログラムを住み着かせて情報を吸い上げるのに対し、フィッシングは PC に何も仕込まず、偽メールと偽サイトで利用者をだまして自分から入力させます。プログラムの常駐を前提としている時点で、フィッシングの説明にはなりません。
ここがポイント
- フィッシングの定義：実在する組織になりすました偽の電子メールなどで、架空サイトや正規サイトを模した偽サイトへ利用者を誘導し、ID・パスワード・クレジットカード番号などを本人に入力させて詐取する手口。技術的な侵入ではなく、人をだますソーシャルエンジニアリング的な攻撃である点が本質。
- 紛らわしい攻撃手口の区別：感染 PC を外部から遠隔操作するのがボット、入力表示機能の脆弱性を突いて他の閲覧者の情報を盗むのがクロスサイトスクリプティング、PC に常駐して情報を収集・送信するのがスパイウェア。なお DNS 情報を書き換えて正しい URL を入力した利用者を偽サイトへ導く手口はファーミングと呼ばれ、フィッシングと区別して覚える。
用語