分野 S｜セキュリティ 重点分野
信頼を悪用する攻撃（フィッシング・標的型・中間者）
今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『2 攻撃手法／信頼を悪用した攻撃』
最終更新
問われ方
- DNS キャッシュポイズニングの対策や、影響を受ける利用者を選ぶ形（6回分で2問）
- SEO ポイズニングの説明を選ぶ形（6回分で1問）
- 問われるとしたら：事例で、フィッシングや標的型メールへの対応を選ぶ形
- 問われるとしたら：中間者攻撃、水飲み場型攻撃などの a〜c の組合せの形
- 問われるとしたら：第三者中継（オープンリレー）や IP スプーフィングの説明を選ぶ形
覚えること
- 中間者（Man-in-the-middle）攻撃：通信している2者の間に入り、盗み見やすり替えをする
- 第三者中継（オープンリレー）：メールサーバーが、無関係な第三者のメールを中継する状態
- オープンリレーの悪用：スパムメールの中継に使われる
- IP スプーフィング：送信元の IP アドレスを偽って通信する
- DNS キャッシュポイズニング：キャッシュサーバーに偽の対応を記憶させ、偽サイトへ誘導する
- 影響を受けるのは、汚染されたキャッシュサーバーを使って名前解決する利用者
- DNS キャッシュポイズニングの対策：外部の再帰的問合せを受け付けず、偽の応答を入れる機会を減らす
- フィッシング：実在の組織を装った連絡で偽サイトへ誘導し、ID やカード番号を盗む
- 標的型攻撃：特定の組織を狙い、機密情報などの窃取を目的に行う
- 標的型メール：業務を装い、添付ファイルやリンクで感染させる。開かず、管理者へ報告する
- 標的型攻撃のマルウェア：新種が多く、対策ソフトで検出されないことがある
- 水飲み場型攻撃：標的組織が頻繁に利用する Web サイトを改ざんし、閲覧者を感染させる
- SEO ポイズニング：検索結果の上位に、悪意のある Web サイトを表示させる
ひっかけ
- DNS キャッシュポイズニングで誘導されるのは、汚染された側のキャッシュサーバーの利用者
- フィッシングは偽サイトへの誘導、標的型攻撃は特定の組織を狙う攻撃
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
C さんの対応として、最も適切なものはどれか。
A 社の経理部の C さんは、取引銀行を名乗る「口座の確認が必要です」とのメールを受け取った。本文のリンクを開き、ID とパスワードを入力したところ、画面が切り替わらなかった。アドレスが、業務で使っている銀行の法人用サイトのものと異なることに、そのあと気づいた。
正解：ア 入力した ID のパスワードを正規のサイトから変更し、メールとリンク先を示して、情報セキュリティ管理者へすぐに報告する
ポイント
事例で、フィッシングにだまされた直後の対応を選ぶ問題です。
考え方と解き方
フィッシングは、偽サイトで ID やパスワードを入力させて盗みます。入力した時点で、情報が攻撃者に渡った可能性があります。従業員の立場では、被害が出たかどうかの判断より先に、悪用される前に止める手と、報告を先に考えます。
- 入力した ID とパスワードは、攻撃者に渡った可能性があります。正規のサイトからパスワードを変更すると、盗まれた情報を使われる前に無効にできます。
- また、情報セキュリティ管理者へすぐに報告し、メールとリンク先の情報を渡すと、組織としての対応を取れます。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 同僚の確認を待って報告すると、対応が遅れ、盗まれた情報を悪用される前に止められません。
- ウ 送信元は攻撃者の可能性が高く、返信は偽サイトの確認になりません。また、返事を待つ間に、盗まれた情報を悪用されるおそれがあります。
- エ 入力した ID とパスワードは、取引をしなくても悪用できます。様子を見るのは、対応が遅れるので適切ではありません。
覚えておくこと
- フィッシング：実在の組織を装った連絡で偽サイトへ誘導し、ID やカード番号を盗む
（テーマ・覚えること）
次の a〜c のうち、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、従業員向けの資料に、次の a〜c の説明を載せた。
- a 中間者攻撃は、通信している2者の間に入り込み、通信の内容を盗み見たり、すり替えたりする攻撃である。
- b フィッシングは、特定の組織を狙い、機密情報の窃取を目的に、標的ごとに作り込んだメールを送る攻撃である。
- c 水飲み場型攻撃は、標的の組織が頻繁に利用する Web サイトを改ざんし、閲覧した従業員を感染させる攻撃である。
正解：ウ a、c
ポイント
信頼を悪用する攻撃の説明の適切さを、a〜c で見分ける問題です。
考え方と解き方
フィッシングと標的型攻撃は、どちらもだましの手口ですが、狙いが違います。名前と説明が入れかわっていないかを、一つずつ確かめます。a〜c は互いに独立なので、適切かどうかを決めてから組合せを探します。
- a は適切です。通信の途中に入る攻撃です。b は不適切です。特定の組織を狙って機密情報の窃取を目的に行うのは、標的型攻撃です。フィッシングは、実在の組織を装って偽サイトへ誘導し、ID やカード番号を盗む攻撃です。c は適切です。標的が頻繁に使う Web サイトを足掛かりにします。
- したがって、適切なのは a、c の全てで、ウ です。
ほかの選択肢
- ア b は不適切なので、含められません。また、c も適切なので、a、b では組合せが合いません。
- イ b は不適切なので、a、b、c の全てとはなりません。
- エ b は不適切です。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- フィッシング：実在の組織を装った連絡で偽サイトへ誘導し、ID やカード番号を盗む
- 標的型攻撃：特定の組織を狙い、機密情報などの窃取を目的に行う
- 水飲み場型攻撃：標的組織が頻繁に利用する Web サイトを改ざんし、閲覧者を感染させる
（テーマ・覚えること）
B さんがまず取るべき対応として、最も適切なものはどれか。
A 社の情報システム部の管理者 B さんは、広報部の従業員から、取引先の担当者を名乗る人物から見積もりの確認を求める添付ファイルつきのメールが届いたとの相談を受けた。広報部に、その取引先との取引はない。従業員は、添付ファイルをまだ開いていない。
正解：イ 添付ファイルを開かせず、同様のメールが他の従業員宛に届いていないかを調べ、結果を踏まえて組織内に注意を促す
ポイント
事例で、標的型メールの疑いがあるときの管理者の対応を選ぶ問題です。
考え方と解き方
標的型攻撃のマルウェアは、新種が多く、対策ソフトで検出されないことがあります。管理者の立場では、まず被害が広がる前に、開かせないことと、同様のメールが他に届いていないかを確かめることを先に考えます。
- 取引のない取引先を名乗る、添付ファイルつきのメールは、標的型メールの疑いがあります。添付ファイルを開かせないことが、まず必要です。
- 同様のメールが他の従業員宛にも届いている可能性があるため、届いた範囲を調べ、結果を踏まえて組織内に注意を促します。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 標的型攻撃のマルウェアは対策ソフトで検出されないことがあり、検出されなくても安全とは言えません。
- ウ 送信元は攻撃者の可能性があります。返信すると、アドレスが有効だと知らせ、さらにだまされるおそれがあります。
- エ 拡張子が実行形式でなくても、文書ファイルなどにマルウェアが仕込まれることがあります。開かせるのは適切ではありません。
覚えておくこと
- 標的型攻撃：特定の組織を狙い、機密情報などの窃取を目的に行う
- 標的型メール：業務を装い、添付ファイルやリンクで感染させる。開かず、管理者へ報告する
- 標的型攻撃のマルウェア：新種が多く、対策ソフトで検出されないことがある
（テーマ・覚えること）
第三者中継（オープンリレー）の状態の説明として、最も適切なものはどれか。
正解：エ メールサーバーが、無関係な第三者から受け取ったメールを、他の宛先へ中継する状態
ポイント
第三者中継（オープンリレー）の意味を、似た攻撃の説明と取りちがえずに選ぶ問題です。
考え方と解き方
第三者中継は、メールサーバーの設定の状態を指す言葉です。通信の途中に入る攻撃や、送信元の偽装、DNS の汚染と区別します。
- 第三者中継は、メールサーバーが、無関係な第三者のメールを中継してしまう状態です。スパムメールの中継に悪用されます。
- 他の選択肢は、別の攻撃の説明です。したがって、最も適切なのは エ です。
ほかの選択肢
- ア 偽の対応を記憶させて誘導するのは、DNS キャッシュポイズニングの説明です。
- イ 送信元の IP アドレスを偽るのは、IP スプーフィングの説明です。
- ウ 通信の途中に入って盗み見るのは、中間者攻撃の説明です。
覚えておくこと
- 第三者中継（オープンリレー）：メールサーバーが、無関係な第三者のメールを中継する状態
- オープンリレーの悪用：スパムメールの中継に使われる
- IP スプーフィング：送信元の IP アドレスを偽って通信する
（テーマ・覚えること）
このテーマの過去問
- 令和7年度 問5DNSキャッシュサーバでのDNSキャッシュポ…科目A（四択）・まずこの1問
- サンプル問題（2022年12月） 問17攻撃者が用意したサーバXのIPアドレスが，A…科目A（四択）
- サンプル問題（2022年12月） 問19SEOポイズニングの説明はどれか。科目A（四択）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。