フィッシングとは
フィッシング（Phishing）とは、インターネットを利用した詐欺手法の一種で、信頼できる公的機関、銀行、クレジットカード会社、有名なショッピングサイトなどを装った偽の電子メールやSMS（ショートメッセージ）を送り、本物そっくりに作成した偽のWebサイト（フィッシングサイト）へ受信者を誘導する行為です。そこでログインIDやパスワード、クレジットカード番号、暗証番号などの重要情報を入力させ、不正に入手（詐取）します。魚を釣る（Fishing）ことと、洗練された（Sophisticated）詐欺手口であることからこの名前が付けられました。
具体例
例えば、あなたの携帯電話に「【重要】〇〇銀行からのお知らせ。お客様のアカウントで異常な取引が検知されました。以下のリンクからログインして情報を更新してください [リンクURL]」というSMSが届きます。焦ってリンクを押すと、本物の銀行と見分けがつかない偽のログイン画面が現れ、IDとパスワードを入力してしまうと、その情報が詐欺グループに盗まれて預金が引き出されてしまいます。
もう少し詳しく
フィッシング詐欺は、技術的な脆弱性を突く攻撃ではなく、人間の心理的な隙や誤認を利用する「ソーシャルエンジニアリング」の一種です。攻撃者は、「アカウントの停止」「不正利用の検知」「未払いの料金請求」など、被害者に恐怖心や焦りを与えるメッセージを用いて偽のWebサイトへ誘導します。近年では、特定の組織の人間を狙い、送信元の名前やメールの文面を日常業務に酷似させて送りつける「スピアフィッシング（Spear Phishing）」や、SMS（ショートメッセージ）を用いた「スミッシング（Smishing）」、電子メールからフィッシングサイトに直接誘導するのではなく、パソコンやスマートフォンのDNS設定を書き換えたりDNSキャッシュを汚染したりすることで、正しいURLを入力しても自動的に偽のWebサイトへ転送される「ファーミング（Pharming）」といった、より高度な技術を用いたバリエーションも出現しています。対策としては、多要素認証の導入、メールの署名検証、受信したメールのリンクからではなく公式アプリやブックマークからアクセスするなどの習慣づけが必要です。
試験でのポイント
試験では、フィッシング詐欺の定義や、他のサイバー攻撃との違いが問われます。特に「電子メールなどの手段を用いて偽のWebサイトに誘導し、個人情報や認証情報を騙し取る」という手口の特徴そのものを問う問題が定番です。また、電子メールではなくSMSを利用するものを「スミッシング」、DNSの仕組みを悪用して正しいURLの入力から偽のサイトに誘導するものを「ファーミング」と呼ぶといった派生用語の違いを正しく理解しておくことが得点に繋がります。さらに、利用者がフィッシングサイトを見分けるための手段として、「EV SSL/TLS証明書」の確認（ブラウザの鍵マークや証明書情報でドメインの正規の所有者を確認する）や、メールの「DKIM」「DMARC」などの認証プロトコル技術が出題されるため、これらの対策技術も併せて理解しておきましょう。
関連する用語
フィッシングに関連する用語としては、人間の心理的な隙を突く詐欺手法全般を指す「ソーシャルエンジニアリング」、SMSを用いたフィッシング「スミッシング」、DNSを汚染して偽のサイトに誘い込む「ファーミング」があります。これらの多様な手口に対する理解が自己防衛に不可欠です。