個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第6問: フィッシングの手口について、IPA（情報処理推進機構）「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）の説明に照らして、正しいものはどれか。

正解: 2. リアルタイムフィッシングは、偽サイトに入力させたID、パスワード、ワンタイムパスワードをその場で悪用し、多要素認証を突破する

IPAの資料は、フィッシングを、実在する企業組織やサービスを騙るメールやSMSで偽サイトに誘導し、認証情報を入力させる等で情報を詐取する手口と説明し、典型的な手口として緊急性を強調することを挙げています。偽サイトに入力させた情報をその場で抜き取り、攻撃者が正規サイトに入力するリアルタイムフィッシングは、IDとパスワードに続いてワンタイムパスワードも入力させ、SMSや認証アプリを使用した多要素認証の突破を図るとされています。AiTM攻撃では、被害者に正規サイトのログイン画面が表示されますが、ブラウザーに表示されるのはフィッシングサイトのURLで、接続先は正規サイトではありません。端末をマルウェアに感染させる手口は、標的型攻撃メールなどの説明です。

根拠・参照資料: 個人情報の保護に関する法律第23条

関連キーワード: フィッシング・偽サイト・認証情報・AiTM