分野 E｜セキュリティ・倫理
フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃
今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-23-2 信頼を悪用した攻撃』
最終更新
よく出る形
- 問われるとしたら：事例で、フィッシング（偽サイトへの誘導）メールへの対応を選ぶ形
- 問われるとしたら：中間者攻撃（通信の途中に割り込む攻撃）に当たる行為を選ぶ形
- 問われるとしたら：フィッシング、MITB 攻撃（ブラウザ内の乗っ取り）などの a〜c の組合せの形
- 問われるとしたら：AI を悪用した攻撃の記述のうち、不適切なものを選ぶ形
覚えること
- 中間者（Man-in-the-middle）攻撃：通信している 2 者の間に入り、情報を盗み見たり、すり替えたりする
- MITB（Man-in-the-browser）攻撃：ブラウザに入り込んで通信に割り込み、不正送金などを行う
- 第三者中継（オープンリレー）：メールサーバが、無関係な第三者のメールを中継してしまう状態
- フィッシング：実在の組織を装ったメールなどで偽サイトに誘導し、ID やカード番号を盗み取る
- フィッシングの手口：URL の文字を正規のものに似せて表示し、偽サイトと気づきにくくする
- フィッシングの経路：メールのほか、SMS などのメッセージからも偽サイトへ誘導する
- 標的型攻撃：特定の組織を狙い、機密情報などの窃取を目的として行う攻撃
- 標的型メール：業務を装い、添付ファイルやリンクで、マルウェアに感染させるメール
- 標的型攻撃のマルウェア：新種が多く、マルウェア対策ソフトで検出されにくいことがある
- 疑わしいメールへの対応：開かず、クリックもせず、情報管理者へ報告・相談する
- 攻撃の巧妙化：標的型攻撃・フィッシング・なりすましは、AI の悪用で見分けにくくなるおそれがある
- バリアント（亜種）：既存のマルウェアを一部変えた別のマルウェア。AI の悪用で生成されるおそれがある
- 参考：今のシラバスの用語例にある「スミッシング」「水飲み場型攻撃」は、案の用語例にない
- 参考：「バリアント（亜種）」は、今のシラバスの用語例にない
ひっかけ
- 中間者攻撃は通信の途中に入る攻撃で、大量のアクセスで止める攻撃ではない
- MITB 攻撃はブラウザに入り込み、中間者攻撃は通信の途中に入る
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
B さんの対応として、最も適切なものはどれか。
A 社の B さんは、社外のセミナーの運営団体を名乗る人から、参加申込みの案内という電子メールを受け取った。メールには申込みのリンクがあり、リンク先の URL のドメインは、実在する団体のものに似ているが、一部の文字が異なっていた。B さんは、その団体のセミナーに申し込んだことはない。
正解：ア リンクを開かず、情報管理者にメールを報告して、今後の対応を相談する。
ポイント
偽サイトへ誘導するおそれのあるメールを受け取ったときの対応を、事例で問う問題です。
考え方と解き方
URL の一部の文字を変えた偽サイトは、ひと目では見分けにくくなっています。開いてから確かめようとすると、感染や入力の被害が先に起きます。
- 申し込んだ覚えがなく、リンク先のドメインが実在の団体に似て一部の文字が異なるので、フィッシングのおそれがあります。
- 疑わしいメールは、リンクをクリックせず、情報管理者に報告して相談します。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ リンクを開くと、偽サイトに接続するほか、マルウェアに感染するおそれがあります。開いて確かめるのは、不適切です。
- ウ 対策ソフトの警告が出ないことは、安全の保証になりません。開いてから確かめる点も、不適切です。
- エ ドメインが似ているだけでは、正規の団体とは言えません。手続きを進めると、入力した情報を盗み取られるおそれがあります。
覚えておくこと
- 疑わしいメールへの対応：開かず、クリックもせず、情報管理者へ報告・相談する
- フィッシングの手口：URL の文字を正規のものに似せて表示し、偽サイトと気づきにくくする
（テーマ・覚えること）
中間者攻撃に該当するものはどれか。
正解：エ 攻撃者が、通信の途中に入り込み、両者がやり取りしている情報を盗み見たり、すり替えたりする。
ポイント
信頼を悪用した攻撃のうち、中間者攻撃に当たる行為を選ぶ問題です。
考え方と解き方
どれも信頼を悪用して情報を盗む攻撃なので、「盗み取る」という言葉だけで選ぶと、ア を選びます。
- 中間者攻撃は、通信している 2 者の間に入り、やり取りされる情報を盗み見たり、すり替えたりする攻撃です。
- したがって、該当するのは エ です。
ほかの選択肢
- ア 偽のサイトに誘導して ID とパスワードを盗み取るのは、フィッシングです。
- イ 第三者のメールを中継させるのは、第三者中継（オープンリレー）の悪用です。
- ウ 特定の組織の従業員に業務を装ったメールを送るのは、標的型攻撃（標的型メール）です。
覚えておくこと
- 中間者（Man-in-the-middle）攻撃：通信している 2 者の間に入り、情報を盗み見たり、すり替えたりする
- フィッシング：実在の組織を装ったメールなどで偽サイトに誘導し、ID やカード番号を盗み取る
- 標的型メール：業務を装い、添付ファイルやリンクで、マルウェアに感染させるメール
（テーマ・覚えること）
適切なものだけを全て挙げたものはどれか。
A 社の情報システム部は、社員向けの研修資料に、信頼を悪用した攻撃の説明を載せることにした。
- a フィッシングでは、電子メールだけでなく、SMS などのメッセージから偽のサイトへ誘導する手口もある。
- b MITB 攻撃では、利用者のブラウザに入り込んだマルウェアが、ブラウザの通信に割り込んで、不正送金などを行う。
- c 標的型攻撃で使われるマルウェアは、新種のものが多く、マルウェア対策ソフトで検出されにくいことがある。
正解：イ a、b、c
ポイント
フィッシング、MITB 攻撃、標的型攻撃の特徴を、a〜c で判定する問題です。
考え方と解き方
三つとも、信頼を悪用して情報を盗む攻撃です。どれか一つでも不自然と決めつけると、全てを挙げる答えを選び損ねます。
- a は適切です。フィッシングでは、メールのほか SMS などのメッセージからも偽サイトへ誘導されます。
- b は適切です。MITB 攻撃は、ブラウザに入り込んで通信に割り込み、不正送金などを行います。
- c は適切です。標的型攻撃のマルウェアは、新種が多く、対策ソフトで検出されにくいことがあります。
- したがって、適切なのは a、b、c の全てで、イ です。
ほかの選択肢
- ア a、b としていますが、c も適切なので、足りません。
- ウ b、c としていますが、a も適切なので、足りません。
- エ c だけとしていますが、a、b も適切なので、足りません。
覚えておくこと
- フィッシングの経路：メールのほか、SMS などのメッセージからも偽サイトへ誘導する
- MITB（Man-in-the-browser）攻撃：ブラウザに入り込んで通信に割り込み、不正送金などを行う
- 標的型攻撃のマルウェア：新種が多く、マルウェア対策ソフトで検出されにくいことがある
（テーマ・覚えること）
AI を悪用した攻撃に関する記述のうち、最も不適切なものはどれか。
正解：ウ 生成 AI を使ったなりすましメールは、文面が不自然になりやすく、人の目で見分けやすくなるおそれがある。
ポイント
AI を悪用した攻撃の記述のうち、誤っているものを選ぶ問題です。
考え方と解き方
AI を使った文は不自然という思い込みがあると、ウ を適切と読んでしまいます。問いが「不適切」なので、適切な記述を選ばないよう注意します。
- シラバス案では、標的型攻撃・フィッシング・なりすましの巧妙化が、AI を悪用した攻撃の一つに挙げられています。
- ウは、生成 AI を使ったなりすましメールが見分けやすくなるとしており、巧妙化と反対です。
- 最も不適切なのは ウ です。正しくは、生成 AI を使ったなりすましメールは、不自然さが少なく、見分けにくくなるおそれがあります。
ほかの選択肢
- ア 生成 AI で自然な文面の偽メールを作られると、フィッシングは見分けにくくなるおそれがあり、適切です。
- イ マルウェアの亜種の生成も、AI を悪用した攻撃の一つで、短時間で多く作られるおそれがあり、適切です。
- エ 生成 AI を悪用したビジネスメール詐欺は増えており、経営者などへのなりすましメールを送られるおそれがあるので、適切です。
覚えておくこと
- 攻撃の巧妙化：標的型攻撃・フィッシング・なりすましは、AI の悪用で見分けにくくなるおそれがある
- バリアント（亜種）：既存のマルウェアを一部変えた別のマルウェア。AI の悪用で生成されるおそれがある
（テーマ・覚えること）
同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。