フィッシングとは（全体像）
フィッシングは、名前のとおり「釣り（fishing）」のイメージ。正規の銀行や宅配業者になりすました「エサ」（偽メール・偽サイト・偽SMS）をまいて、引っかかった人の情報を釣り上げる攻撃だ。
近年は、AIを使って文面が自然になり、声や動画まで本物そっくりに作れるようになった。そのため「自分は見破れる」と思っても、識別が難しくなっている。
押さえるのは、6種類の手口、AIによる巧妙化、そして対策だ。
詳しく：6種類と対策を押さえる
ここが心臓部。まず6種類を「経路・狙い」で整理する。
フィッシングの6種類
| 種類 | 経路・狙い |
|---|---|
| メール | 一般的に大量配信する |
| スピア | 特定の個人・組織を狙い撃ちする（詳しい情報を使う） |
| ホエーリング | 経営幹部など「大物」を狙う |
| スミッシング | SMS経由（宅配の「不在通知」型が急増） |
| ビッシング | 電話（音声）でだます |
| Quishing | 偽のQRコード（貼り替えなど） |
そして、対策の柱。
フィッシングのおもな対策
| 対策 | 内容 |
|---|---|
| メール認証（SPF/DKIM/DMARC） | 送信元が本物かを確かめるしくみ |
| MFA | 万一パスワードを取られても、もう一つの要素で守る |
| 教育・確認 | 「急かす連絡」「うまい話」を疑い、公式から確かめる |
言葉を噛み砕いておく。
- 6種類は「経路・狙い」で分かれる … メール（ばらまき）／スピア（狙い撃ち）／ホエーリング（大物）／スミッシング（SMS）／ビッシング（電話）／Quishing（QR）。
- AIで巧妙化 … 2023年ごろから、AIで自然な文面や、本物そっくりの声・動画が作れるようになった。だから「見破れる」と過信しない。
- メール認証（SPF/DKIM/DMARC） … 「そのメールが本当にその会社から来たか」を確かめるしくみ。なりすましメールをはじく土台になる。
わかりやすく言い換えると
つまり、フィッシングは「本物そっくりのエサで情報を釣り上げる」攻撃にたとえるとスッと入る。
銀行や宅配業者になりすました偽のメール・SMS・QRコードをエサとしてまき、引っかかった人にIDやパスワードを入力させて情報を釣り上げる。狙い方で、ばらまき（メール）、狙い撃ち（スピア）、大物狙い（ホエーリング）などに分かれる。
対策は、送信元が本物か確かめるしくみ（SPF/DKIM/DMARC）、MFA（パスワードを取られても守れる）、そして「急かす連絡」を疑って公式から確かめること。AIで巧妙になっているので、「自分は大丈夫」と過信しないのが大事だ。
試験のツボ
🔴 一番出る：6種類と狙い
①メール・スピア・ホエーリング・スミッシング・ビッシング・Quishing
②SMSはスミッシング、電話はビッシング、QRはQuishing
🔴 次に出る：AIによる巧妙化
①AIで文面や声・動画が本物そっくりになり、見破りにくい
②「自分は見破れる」と過信しない
🟡 押さえると安定：対策はメール認証（SPF/DKIM/DMARC）・MFA・教育の組み合わせ
よくある間違い
①「AIで作られたフィッシングも簡単に見破れる」→ ✗ 2023年ごろから巧妙化し、識別が難しい。見破れると過信しない。
②「フィッシング対策にメール認証は不要」→ ✗ SPF/DKIM/DMARCは基本。なりすましメールをはじく土台になる。
③「フィッシングはメールだけで、SMSや電話、QRは関係ない」→ ✗ SMS（スミッシング）・電話（ビッシング）・QR（Quishing）など経路は複数ある。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（フィッシングの種類）
フィッシングの種類に関する次の記述のうち、正しいものはどれか。
- フィッシングはメールだけで行われ、そもそもSMSや電話、QRコードを使う手口はいっさい存在しないとされている
- フィッシングは通信を速くするための便利な技術のことで、情報をだまし取る攻撃ではないとされているのだ
- SMSを使うのがスミッシング、電話を使うのがビッシング、QRを使うのがQuishingという経路の違いがある
- フィッシングはすべて経営幹部だけを狙うもので、一般の人が対象になることはないとされているものである
解答は 3 である。
経路の違いで、SMSはスミッシング、電話はビッシング、QRはQuishingと呼ぶ。ほかにメール、狙い撃ちのスピア、大物狙いのホエーリングもある。
選択肢1は「メールだけ」が誤り。選択肢2は「速くする技術」が誤り。選択肢4は「経営幹部だけ」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | SMS・電話・QRなど経路は複数 |
| 2 | ✗ | 情報をだまし取る攻撃である |
| 3 | ✓ | スミッシング・ビッシング・Quishingで正しい |
| 4 | ✗ | 一般の人も対象になる |
オリジナル問題2（AIによる巧妙化）
フィッシングとAIに関する次の記述のうち、正しいものはどれか。
- AIで作られたフィッシングはAIで文面や声・動画が本物そっくりになり、見破りにくくなっているとされる
- AIで作られたフィッシングは見た目が必ず不自然になるため、だれでもすぐに簡単に見破れるとされているものだ
- AIはフィッシングの対策専用の技術で、攻撃に悪用されることはいっさいないとされているのが実情である
- AIはフィッシングとまったく関係がなく、文面や声を作ることには使われないとされているものなのである
解答は 1 だ。
AIによって、文面や声・動画が本物そっくりになり、フィッシングは見破りにくくなっている。「自分は見破れる」と過信しないことが大事だ。
選択肢2は「必ず不自然・簡単に見破れる」が誤り。選択肢3は「対策専用で悪用されない」が誤り。選択肢4は「まったく関係ない」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 本物そっくりで見破りにくいで正しい |
| 2 | ✗ | 必ず不自然になるわけではない |
| 3 | ✗ | 攻撃にも悪用される |
| 4 | ✗ | 文面や声の作成に使われる |
オリジナル問題3（対策）
フィッシングの対策に関する次の記述のうち、正しいものはどれか。
- 対策は画面の文字を大きくすることだけで、メール認証やMFAとはまったく関係がないとされているのが実情である
- フィッシングはどんな方法でも防げないため、対策を考える必要はまったくないとされているものなのである
- メール認証は不要で、送信元が本物かを確かめなくてもなりすましは防げるとされているものなのである
- 対策はメール認証（SPF/DKIM/DMARC）・MFA・教育の組み合わせで、急かす連絡は公式から確かめる
解答は 4 だ。
対策は、メール認証（SPF/DKIM/DMARC）・MFA・教育の組み合わせ。急かす連絡は、リンクをそのまま開かず公式から確かめるのが基本だ。
選択肢1は「文字を大きくするだけ」が誤り。選択肢2は「防げない」が誤り。選択肢3は「メール認証は不要」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 文字の大きさの話ではない |
| 2 | ✗ | 対策はある |
| 3 | ✗ | メール認証は基本で必要 |
| 4 | ✓ | 認証・MFA・教育の組み合わせで正しい |
まとめ
押さえどころ
- 🔴 フィッシング ＝ 正規になりすまし、偽のメールやサイトで情報をだまし取る攻撃。個人の脅威ランキングで上位。
- 🔴 6種類はメール・スピア・ホエーリング・スミッシング（SMS）・ビッシング（電話）・Quishing（QR）。AIで巧妙化。
- 🟡 対策はメール認証（SPF/DKIM/DMARC）・MFA・教育。AIで見破りにくいので過信しない。
次に学ぶ
- 認証要素・MFA（多要素認証） ── パスワードを取られても守る、本人確認の重ねがけ。
- パスキー・WebAuthn・FIDO2 ── フィッシングに強い、パスワードレスの認証。
- ランサムウェア（RaaS・四重脅迫） ── フィッシングが入口にもなる、身代金型の攻撃。
執筆: SikakuQuest編集部