💻 Phase3：技術理解（Day16）｜フィッシングと標的型攻撃の違いを構造で理解する｜📘 30日間連続講座｜情報セキュリティマネジメント合格ロードマップ

---

前回の記事

---

1. 攻撃は「技術」より「心理」を突く

近年のサイバー攻撃の多くは、

高度な技術よりも
人の判断ミスを狙います。

代表例が、

• フィッシング攻撃
• 標的型攻撃

どちらも試験頻出。

違いを“構造”で理解しましょう。

---

2. フィッシングとは何か？

フィッシング（Phishing）とは、

不特定多数に対して
偽メールや偽サイトを送り、

認証情報などを盗む攻撃。

特徴：

✔ 大量送信
✔ なりすまし
✔ 偽物のログイン画面

目的は主に、

• ID・パスワード窃取
• クレジットカード情報取得

---

3. フィッシングの構造

流れはこうです。

① 偽メール送信
② 不安や緊急性を煽る
③ 偽サイトへ誘導
④ 情報入力させる

心理を利用する攻撃。

技術よりも“焦らせる文章”が武器。

---

4. 標的型攻撃とは何か？

標的型攻撃とは、

特定の組織や個人を狙って
計画的に行う攻撃。

特徴：

✔ 事前調査あり
✔ 実在人物を装う
✔ 長期潜伏

目的は、

• 機密情報窃取
• 産業スパイ
• 国家レベルの情報収集

---

5. 標的型攻撃の構造

一般的な流れ：

① 標的の情報収集
② 信頼関係を装うメール
③ マルウェア感染
④ 内部ネットワーク横展開
⑤ 情報持ち出し

ポイントは、

“長期潜伏”。

発覚まで時間がかかります。

---

6. 両者の違いを整理する

項目	フィッシング	標的型攻撃
対象	不特定多数	特定組織
手法	偽サイト誘導	個別カスタマイズ
目的	認証情報窃取	機密情報窃取
規模	大量	少数精鋭

試験ではこの比較が問われます。

---

7. 試験での典型論点

✔ 不特定多数か特定標的か
✔ 潜伏型か即時窃取型か
✔ 対策の違い

例：

メール訓練 → フィッシング対策
内部監視強化 → 標的型対策

---

8. 対策の基本

共通対策：

① セキュリティ教育
② 不審メール訓練
③ 多要素認証
④ EDR導入
⑤ ログ監視

特にMFAは強力。

パスワードが盗まれても突破されにくい。

---

9. 経営視点での理解

どちらの攻撃も、

「人」が入口。

つまり、

教育と統制が核心。

高度なツールよりも、

• 不審時に相談できる文化
• 迅速な報告体制

が被害を最小化します。

---

10. よくある誤解

❌ フィッシングは単純攻撃
→ 被害規模は巨大

❌ 標的型は大企業だけ
→ 中小企業も踏み台にされる

❌ IT部門だけ対策すればよい
→ 全社員が対象

---

11. CIAとの関係

フィッシング → 機密性侵害
標的型攻撃 → 機密性＋完全性＋可用性

特に標的型は複合型。

構造で整理しましょう。

---

12. 今日のアウトプット課題

考えてみてください。

• 自社で最も現実的な攻撃はどちらか
• 不審メール報告ルールはあるか
• 多要素認証は導入済みか
• ログ監視は機能しているか

書ければ理解は定着しています。

---

13. 今日のまとめ

✔ フィッシングは不特定多数型
✔ 標的型は特定組織狙い
✔ 心理を突く攻撃が主流
✔ MFAと教育が重要
✔ 文化と統制が防御力

---

次回：

Day17｜暗号技術（共通鍵・公開鍵）の超シンプル解説

“難しそう”を解体します。

---