フィッシング(英: phishing、フィッシング詐欺)とは、インターネットのユーザから経済的価値がある情報(住所等の個人情報、パスワード、クレジットカード情報など)を奪うために行われる詐欺行為である。典型としては、一般的に信頼されている主体になりすましたEメールによって偽のWebサーバに誘導することによって行われる。

インターネット上で様々なサービスが提供されるにつれ、年々増加と高度化の傾向が顕著である。

## 語源

語源については諸説ある。"fishing"(釣り)のハッカー的なスラング(Leet的言い換えと呼ばれる意図的な同音別表記)であるが、fがphに変化しているのは"以前フリーキング"(音声によって電話網を意図的に誤作動させる不正行為)からの類推であると考えられている。このほか、"password harvesting fishing" の略とする説もある。日本の総務省は、「魚釣り(fishing)と洗練(sophisticated)から作られた造語」と「知恵蔵」からの知見を説明している。

## 経緯と現状

フィッシングは、主にアメリカ国内を中心に被害が急増し、例として10万ドルをフィッシングサイトにより振り込んでしまった被害者がいる。イギリスのメッセージラボ社の調査によれば、2003年9月には月間約280件の発見であったのが、2004年3月には月間約22万件にまで増えているといい、迷惑メールの新たな形態としても目立つようになってきている。日本でも2004年12月に国内初のフィッシングの被害が確認されたと警察庁が明らかにした。

日本での例として、2005年11月に千葉銀行を騙り各企業へCD-ROMを郵送し、そのCD-ROMをパソコンに入れるとフィッシングサイトに勝手に繋がり金を騙し取られるという事件が発生した。また2012年10月には国内各大手銀行のネットバンキングサービスを開くと、常駐したマルウェアが偽のログイン画面をポップアップして暗証番号などを入力させる手口で、不正に預金を引き出される被害が発生した
。

近年ではYahoo!等のポータルサイトにおいて、インターネットオークション会員やウォレット等の様々なサービスが、ひとつのIDとパスワードに集約されて提供されている事情もあり、日本国内でもこれらのアカウント乗っ取りを目的としたフィッシングと見られる無差別送信のメールや、偽のサイトが報告されている。この場合、アカウントが乗っ取られれば、自分の名前で嘘のオークション出品物が出されたり、正当な出品者から出品物を騙し取るのに利用されたり、二次的にオークション詐欺の片棒を担がされる事態に陥るおそれがある。

また、最近Chromeでビジターアンケートというサイトも多発中である。

## 手口の概要

この行為は、悪意の第三者が会員制ウェブサイトや有名企業を装い、「ユーザーアカウントの有効期限が近づいています」や「新規サービスへの移行のため、登録内容の再入力をお願いします」,「お客様が不在の為お荷物を持ち帰りました。こちらにてご確認ください」などと、本物のウェブサイトを装った偽のウェブサイトへのURLリンクを貼ったメールを送りつけ、クレジットカードの会員番号といった個人情報や、銀行預金口座を含む各種サービスのIDやパスワードを獲得することを目的とする。また、DNS書き換えなどにより、正しいURLを入力しているのに偽のウェブサイトに誘導されてしまうファーミングという類似手法もある。また宅配便の不在通知を装った偽のSMSを送りつけ、不正なアプリをダウンロードさせる手法もある。その結果として架空請求詐欺や預金の引き下ろし・成り済ましなどに利用され、多重に被害者となってしまう、または間接的に加害者になってしまうケースも目立ってきている。

### 種類

詐欺行為が行われる形態に応じて、比喩的な用語が用いられる。

フィッシングのうち、特定の個人、団体を標的としたものをスピアフィッシング (spear phishing: 魚突き) と呼ぶ
。
それらのうちビジネスにおける幹部を標的とするものがホエーリング (whaling: 捕鯨) と呼ばれることがある
。

以前に送信された正規のEメールを用いて行われるものが、クローンフィッシング (clone phishing) と呼ばれることがある
。

### リンクの細工

フィッシングにおいては電子メール中に偽のWebページを指し示すリンクがURLで記述されるが、本物のWebページに良く似た綴りのURLや、本物のドメインと同じ記述をサブドメインに含めたURLがほとんどである。

本物のWebサイトのオープンなリダイレクトを悪用して細工することもありうる
。

### Webサイトの模造

本物のWebページのテキストや画像のみならずアドレスバーも模造されてしまう。その際にはJavaScriptや画像などが用いられる。

攻撃者により、ユーザが信頼している本物のWebサイトにある脆弱性を攻略される懸念がある。
クロスサイトスクリプティングと呼ばれる攻撃によって、その本物のWebサイトと模造サイトが連携して動作するようになり、あたかも本物のように機能するようしてしまう
。

このような攻撃をするツールとして、BeEFが存在する。

### 攻撃ツール

許可なく他人をハッキングする行為は不正アクセス禁止法により規制されており、攻撃者には刑事罰が科される。

- BeEF - 偽のWebサイトを作成し、攻撃する。
- Spoofbox - SMSやメール、iMessageを送信することができるサイト。課金が必要。
- Wi-Fi Phisher - Wi-Fiで偽のアクセスポイントに接続させて、パスワードを盗む(Evil Twin攻撃)。
- Metasploit - 悪意のあるリンクやファイルをメールに添付して送信するモジュールが存在する。

## 対策

### 社会的対策

2005年にフィッシング対策協議会が設立された。

警察にサイバー犯罪相談窓口が設けられているほか、IPA 情報セキュリティ安心相談窓口などがある。

### 技術的対策

この詐欺行為の被害を防止する上で勧められる対策としては、以下の方法が挙げられる。

## 技術面から見た将来的な危険性

近年では、脆弱性が放置されたままのDNSサーバに干渉し、本来のホスト名に対して偽のIPアドレスを返すように動作を変更することにより、本来のサイトに対して有効なリンクを辿っている(すなわち、ブラウザのアドレスバーには正しいアドレスが表示されている)にもかかわらず、攻撃者の設置したサイトに誘導されるファーミングが指摘されている。同じ原理の攻撃として、近年急速に普及した無線LANのホットスポットに紛れ、偽のDNSサーバに接続するよう設定された罠のアクセスポイントを設置する手口(Evil Twin攻撃)も成立しうる。

また、技術的可能性としてはルーターをクラックしてインターネット上でルーティングされるIPパケットを恣意的に制御されたり、それがフィッシングへの応用されたりする可能性もある。

さらに、マルウェアの中には、パソコン内の通信制御(ルーティングテーブル、ネームリゾルバAPI等、あるいは単なるhostsファイル)を乗っ取ったり書き換えたりし、リンク先とは違うサイトを開かせるトロイの木馬も発見されている。実際に特定の銀行サイトに対する操作のみに反応して、フィッシングサイトへと誘導する物も確認されている。またhostsファイルを書き換えて、偽のDNSサーバを参照させ、偽のサイトへ誘導しようと試みるワームの存在も確認されているため、コンピュータウイルス対策を含めて、これらフィッシングへの警戒を行う必要がある。