誘導先となるフィッシングサイトは、HTMLソースコードや画像をそのままコピーして作られており、見た目だけで本物と区別するのはほぼ不可能です。また、近年では偽の画面に入力された情報をリアルタイムで本物のサイトに中継し、多要素認証のワンタイムパスワードまでもその場で突破してしまう「リバースプロキシ型フィッシング（中間者型）」といった極めて高度な手法も現れています。
試験において「フィッシング」に関する問題では、その定義と具体的な手口（偽メール、偽サイトへの誘導、個人情報の窃取）を識別することに加えて、フィッシングに対する有効な「技術的対策」が問われます。以下の項目を確実に覚えておきましょう。
・電子証明書（SSL/TLSサーバー証明書）の確認： 接続したWebサイトが本物であることを確認するため、ブラウザの鍵マークからサーバー証明書を確認し、コモンネーム（ドメイン名）が企業の公式のものと一致しているかチェックします。
・多要素認証（MFA）の導入： 万が一IDやパスワードがフィッシングで盗まれても、物理的な鍵（セキュリティキー）やスマホアプリによる認証が必要な状態にしておけば、アカウントの即時乗っ取りを防ぐことができます。
・S/MIME（Secure / Multipurpose Internet Mail Extensions）： 送信元メールにデジタル署名を付与する技術です。これにより、受信者はメールが本当に公的な企業から送られた本物であり、途中で改ざんされていないかをメールソフト上で確認できます。
・SPF / DKIM / DMARC： メールの送信ドメイン認証技術です。偽装された送信元アドレスからのなりすましメールを受信拒否・隔離するのに有効です。
試験では「有名企業を装う」「偽サイトでログイン情報を入力させる」「メールでアカウント再設定を促す」といった文脈が現れたらフィッシングと紐付け、対策として電子署名（S/MIME）やドメイン認証が結びついていることを理解しておきましょう。
メール送信元の正当性を証明してなりすましを防ぐ「電子証明書」、人間の心理的な隙を突く詐欺手法の総称である「ソーシャルエンジニアリング」、特定の組織を狙い撃ちにする「標的型攻撃」などがあります。