フィッシングとは
フィッシング（Phishing）とは、実在する銀行やクレジットカード会社、有名なショッピングサイトなどを装った偽の電子メールやSMS（ショートメッセージ）を送信し、本物そっくりに作成した偽のWebサイト（フィッシングサイト）に誘導して、暗証番号やパスワード、クレジットカード情報などを盗み出す詐欺行為です。「洗練された（Sophisticated）」手口でユーザーを「釣り上げる（Fishing）」ことから、このスペル（Phishing）で呼ばれています。メールの文面に「アカウントが不正利用されたため、ただちに再設定してください」などの不安を煽る内容を記載し、偽サイトへ誘導する手口が一般的です。
具体例
「お客様の配送物が保留されています。こちらのURLから再配達の指定をしてください」というSMSが届き、リンクを開くと大手配送会社にそっくりのページが表示され、そこで電話番号やスマートフォンの認証情報を入力させられてしまう被害例。
[攻撃者] --(偽メール/SMS)--> [ユーザー] --(リンククリック)--> [偽サイト(ID・パスワード入力)]
|
+--> [情報が攻撃者に盗まれる]もう少し詳しく
フィッシング（Phishing）は、ソーシャルエンジニアリング（人間の心理的な隙や油断を突く手法）と技術的詐術を高度に融合させたサイバー詐欺犯罪です。その手口は日々変化しており、以下のような形態に細分化されます。
・一般的なフィッシング： 実在する金融機関、ECサイト、ポータルサイト、配送業者などを装い、不特定多数に偽メールやSMSを一斉送信します。「アカウント更新」「不正ログインの検知」「未払いの料金がある」といった文言で緊急性を演出し、ユーザーを焦らせて冷静な判断力を奪うのが特徴です。
・スミッシング（Smishing）： SMS（ショートメッセージサービス）を利用したフィッシング詐欺です。スマートフォンの画面に通知が直接届くため開封率が極めて高く、近年急激に被害が増加しています。
・スピアフィッシング（標的型フィッシング）： 不特定多数ではなく、特定の企業や組織の役員・社員を狙い撃ちにする手法です。相手の名前や所属部門、取引実績などの情報を事前に入念に調べたうえで、本物の取引先や業務連絡を模したメールを送信するため、見破ることが非常に困難です。
誘導先となるフィッシングサイトは、HTMLソースコードや画像をそのままコピーして作られており、見た目だけで本物と区別するのはほぼ不可能です。また、近年では偽の画面に入力された情報をリアルタイムで本物のサイトに中継し、多要素認証のワンタイムパスワードまでもその場で突破してしまう「リバースプロキシ型フィッシング（中間者型）」といった極めて高度な手法も現れています。
試験でのポイント
試験において「フィッシング」に関する問題では、その定義と具体的な手口（偽メール、偽サイトへの誘導、個人情報の窃取）を識別することに加えて、フィッシングに対する有効な「技術的対策」が問われます。以下の項目を確実に覚えておきましょう。
・電子証明書（SSL/TLSサーバー証明書）の確認： 接続したWebサイトが本物であることを確認するため、ブラウザの鍵マークからサーバー証明書を確認し、コモンネーム（ドメイン名）が企業の公式のものと一致しているかチェックします。
・多要素認証（MFA）の導入： 万が一IDやパスワードがフィッシングで盗まれても、物理的な鍵（セキュリティキー）やスマホアプリによる認証が必要な状態にしておけば、アカウントの即時乗っ取りを防ぐことができます。
・S/MIME（Secure / Multipurpose Internet Mail Extensions）： 送信元メールにデジタル署名を付与する技術です。これにより、受信者はメールが本当に公的な企業から送られた本物であり、途中で改ざんされていないかをメールソフト上で確認できます。
・SPF / DKIM / DMARC： メールの送信ドメイン認証技術です。偽装された送信元アドレスからのなりすましメールを受信拒否・隔離するのに有効です。
試験では「有名企業を装う」「偽サイトでログイン情報を入力させる」「メールでアカウント再設定を促す」といった文脈が現れたらフィッシングと紐付け、対策として電子署名（S/MIME）やドメイン認証が結びついていることを理解しておきましょう。
関連する用語
メール送信元の正当性を証明してなりすましを防ぐ「電子証明書」、人間の心理的な隙を突く詐欺手法の総称である「ソーシャルエンジニアリング」、特定の組織を狙い撃ちにする「標的型攻撃」などがあります。