ITパスポート｜マルウェアとは？セキュリティの脅威を解説

2026年7月17日 10:07

※ 本記事にはアフィリエイトリンク（PR）を含みます。

情報セキュリティの脅威は、「人的脅威・技術的脅威・物理的脅威」の3つに分けると、きれいに整理できます。 そして、マルウェアという言葉が指すのは「悪いソフトウェアの総称」。コンピュータウイルスは、その一種にすぎません。

「セキュリティの回」と聞くと、身構えますよね。わかります。カタカナと英語だらけですし、こわい話が続きそうですし。でも安心してください。この章でやるのは、敵の名前を覚えることです。 正体のわからないものは、こわい。でも、名前と手口がわかれば、ただの「知っている話」になります。

この記事でわかること

情報セキュリティが守っているもの（情報資産）と、脅威・脆弱性のちがい
脅威の3分類（人的脅威・技術的脅威・物理的脅威）と、マルウェアの種類
代表的な攻撃手法の名前と、「何が起きるか」の概要

この記事の要点（先に結論！）

情報セキュリティの脅威は、人的脅威・技術的脅威・物理的脅威の3つに分けて整理できます（シラバスVer.6.5の小分類61(3)。2026年7月時点）。
マルウェアとは、悪意をもって作られたソフトウェアの総称で、コンピュータウイルスはその一種です。
脅威とは襲ってくる側のことで、脆弱性とはこちら側のスキのことです。この2つがそろったときに、被害が起きます。
ソーシャルエンジニアリングとは、技術ではなく、人の心理や行動のスキを突いて情報を聞き出す手口のことです。
シラバスは、攻撃手法について「外部からの不正な行為と手法、及びそれらへの対策の概要」を理解対象としています（2026年7月時点・シラバスVer.6.5）。

なお、この記事の出題範囲は、シラバスVer.6.5のテクノロジ系「大分類9 技術要素／中分類23 セキュリティ／小分類61 情報セキュリティ」にあたります（2026年7月時点）。

1. まずは地図から：セキュリティは3回に分けて進む

いきなり用語に入る前に、この章の地図を渡しておきますね。ここを先に見ておくと、迷子になりません。

1.1 前回の約束は、次回に回収

前回の最後に、「暗号のしくみは、セキュリティの回で」とお約束しましたね。覚えていてくれた方、ありがとうございます。その約束は、次回（守り方の回）でまるごと回収します。

というのも、セキュリティはこのシリーズでいちばん大事な章。1本に詰め込むと、スマホの画面が用語で埋まってしまうんです。そこで、3回に分けてじっくり進めます。

今回（1回目）＝敵を知る回……どんな脅威があり、どんな攻撃手法があるのか
次回（2回目）＝守り方の回……暗号のしくみをはじめ、こちら側の道具の話
3回目＝ルールの回……組織としてどう管理するか、という話

1.2 今回は「敵を知る」ことに集中

順番には、理由があります。敵を知らないまま道具を渡されても、どれをどう使えばいいのかわかりませんよね。

だから今回は、守り方をいったん脇に置いて、敵の顔ぶれを見にいきます。 「じゃあ、どう守るの？」と言いたくなったら、そのたびに「それは次回」とお伝えしますね。

そしてもう1つ、肩の力が抜ける事実を。シラバスは、攻撃手法について「外部からの不正な行為と手法、及びそれらへの対策の概要」を理解する、としています（2026年7月時点・シラバスVer.6.5）。原文にある言葉は「概要」です。 攻撃の細かい手順を覚える話ではないんですね。

2. 情報セキュリティとは？守っているのは「情報資産」

では、本題へ。そもそもセキュリティは、何を守っているのでしょうか。

情報セキュリティとは、ひとことで言うと、大事な情報を安全に守るための考え方と工夫のことです。シラバスの目標も「ネットワーク社会において安全に活動するという観点で、情報セキュリティの基本について理解する」となっています（2026年7月時点・シラバスVer.6.5）。

2.1 情報資産＝持ち物リストに載る、目に見えない財産

「守る」と言いますが……何を守るんでしょう？

シラバスは、情報資産という言い方をしています。たとえるなら、会社の持ち物リストに、目に見えないものも載っているという感覚。机やパソコンだけでなく、情報も財産なんですね。シラバスが挙げているのは、次の4つです（小分類61(2)。2026年7月時点・シラバスVer.6.5）。

顧客情報……お客さまの名簿や連絡先
営業情報……取引先や、商品の値段の情報
知的財産関連情報……自社の技術やノウハウ
人事情報……社員の評価や給与の情報

どれも、外に出たら困りますよね。この「困るもの」を守るのが情報セキュリティ、というわけです。なお、守るべきものの中身をどんな観点で見るか（情報セキュリティの要素）は、3回目のルールの回で扱います。今回は「守るものは情報資産」まででじゅうぶんですよ。

2.2 サイバー空間とサイバー攻撃

小分類61(1)の用語例は、じつは2語だけです（2026年7月時点・シラバスVer.6.5）。

サイバー空間……コンピュータやネットワークがつくる、情報のやりとりの場
サイバー攻撃……そのサイバー空間を通じて行われる攻撃

サイバー空間は、IT戦略の回でSociety5.0の話に出てきましたね。「サイバー空間（仮想空間）とフィジカル空間（現実空間）」というあれです。あのサイバー空間が、そのままセキュリティの舞台になる、と考えてください。

3. 脅威と脆弱性のちがい＝泥棒と、鍵のかかっていない窓

ここが、この記事でいちばんつまずきやすいところ。でも、いちばん大事なところでもあります。

3.1 2つがそろったときだけ、被害が出る

脅威と脆弱性（ぜいじゃくせい）。似た顔をしていますが、まったく別ものです。たとえるなら、脅威は泥棒、脆弱性は鍵のかかっていない窓です。

泥棒が近所をうろついていても、家に一切スキがなければ入られません。逆に、窓の鍵が開けっぱなしでも、泥棒が来なければ何も起きません。両方そろったときだけ、被害が出るんですね。

脅威……襲ってくる側。外からやってくるもの
脆弱性……こちら側のスキ。自分の側にある弱いところ

シラバスは、脆弱性を「セキュリティインシデントが発生しやすくなる要因」としています（小分類61(3)。2026年7月時点・シラバスVer.6.5）。事故そのものではなく、事故を「起きやすくする要因」。 ここが脅威との決定的なちがいです。

そして、ここに前向きな話が1つ。泥棒を世の中から減らすのは、わたしたちには難しい。でも、窓の鍵をかけることはできます。 セキュリティ対策が「脆弱性をつぶす」話になりがちなのは、そのためなんですね。

3.2 脆弱性の代表：バグ・セキュリティホール・人的脆弱性・シャドーIT

シラバスが挙げている脆弱性の用語例は、次の4つです（小分類61(3)④。2026年7月時点・シラバスVer.6.5）。

バグ……プログラムの誤り
セキュリティホール……セキュリティ上の「穴」になっている欠陥
人的脆弱性……人の側のスキ。ルールが決まっていない、決めても徹底されていない、など
シャドーIT……会社が許可していないのに、社員が業務で勝手に使っているIT機器やサービス

シャドーITは、少しだけ補足を。これ、悪意なく生まれるのが厄介なんです。「このアプリのほうが便利だから」という善意で始まることが多いんですね。でも、会社が把握していない以上、守りようがありません。会社が知らないうちに増えた、勝手な出入り口、と考えるとイメージしやすいですよ。

私物のスマホを仕事に使うという話は、IT戦略の回でBYODとしてお伝えしました。あれが会社の許可のもとで行われるならBYOD、許可なく勝手にやるならシャドーIT、というちがいです。

ここでテストに出そうな注意を1つ。シャドーITは、シラバスでは「脅威」ではなく「脆弱性」の用語例に入っています（2026年7月時点・シラバスVer.6.5）。襲ってくる側ではなく、こちら側のスキ。この置き場所、覚えておいてくださいね。

3.3 脅威は3つに分かれる（この記事の骨格）

さて、その「脅威」のほう。シラバスは、脅威を3種類に分けて並べています（小分類61(3)①②③。2026年7月時点・シラバスVer.6.5）。

人的脅威……人が原因で起きる脅威
技術的脅威……技術を使って仕掛けられる脅威（マルウェアなど）
物理的脅威……モノや場所そのものへの脅威（災害など）

この3つは、シラバスの項目名そのままです。つまり、IPAが「この3つで整理しなさい」と言ってくれているわけですね。ありがたく、この棚をそのまま使いましょう。ここから3つの章に分けて、順に見ていきますよ。

4. 人的脅威＝人が原因の脅威（この記事の山場その1）

まずは人的脅威から。ここ、多くの人が意外に思うところが2つあります。

4.1 「わざと」だけではなく「うっかり」も入る

シラバスが挙げている人的脅威の用語例は、13語あります（小分類61(3)①。2026年7月時点・シラバスVer.6.5）。よく見ると、悪い人がまったく出てこない語が混ざっているんです。

漏えい……情報が外に出てしまうこと
紛失……スマホや書類を、なくしてしまうこと
破損……データや機器を、壊してしまうこと
誤操作……宛先を間違えて送る、消してはいけないものを消す、など

この4つ、どこにも悪い人はいません。 でも、情報は漏れます。人的脅威＝悪い人がやること、ではないんですね。ここが第一のポイントです。もちろん、「わざと」のほうもあります。

なりすまし……ほかの人のふりをすること
盗み見……画面や書類を、こっそり見られること（後ろからのぞき込まれる、など）
盗聴……通信や会話を、こっそり聞かれる・読まれること
クラッキング……悪意をもってシステムに侵入したり、壊したりすること
内部不正……組織の内部の人が、権限を悪用して行う不正

ここでも表記に注意を。シラバスの語は「盗み見」です。似た手口を「ショルダーハック」と呼ぶ本もありますが、その語はこの単元の用語例には入っていません（2026年7月時点・シラバスVer.6.5）。同じように、シラバスの語は「クラッキング」で、「ハッキング」ではありません。

なお、「なりすまし」については、法務の回でお伝えした不正アクセス禁止法を思い出してください。他人の家の鍵（合鍵）を勝手に使って入ってはダメ、というあれですね。他人になりすまして入ること自体がダメ、という法律でした。法律の中身は、あの回で完結しています。

ちなみに、この図の「わざと／うっかり」という2分けは、覚えやすくするためのこちらの整理です。シラバスがそう分類しているわけではないので、そこだけご注意を。

4.2 ソーシャルエンジニアリング＝「開けてください」と頼む手口

この記事のクライマックスです。心して読んでください……と言いたいところですが、むしろここがいちばん安心できる話なんですよ。

質問です。パスワードを盗むのに、いちばん簡単な方法を知っていますか？

……本人に聞くことです。

ソーシャルエンジニアリングとは、技術ではなく、人の心理や行動のスキを突いて情報を聞き出す手口のことです。

OSの回で、だれに鍵を渡すか、どの部屋まで開けられる鍵にするか。その鍵を配り、回収しているのがOSだとお伝えしました。仕組みとしては、とてもよくできています。

でも、考えてみてください。どんなに頑丈な鍵をつけても、住人が自分でドアを開けてしまったら、意味がありませんよね。ソーシャルエンジニアリングは、鍵を破る技術ではなく、「住人にドアを開けさせる」話術なんです。たとえば、こんな形をとります（いずれも一般的な手口の例です）。

情報システム部を名乗る電話がかかってきて、「確認したいのでパスワードを教えてください」と言われる
後ろから画面をのぞき込まれる（＝盗み見）
捨てた書類を持ち去られ、そこから情報を拾われる

さて、ここが大事なところです。この手口には、最新のセキュリティ製品が効きません。 相手が突いているのは、機械ではなく人だからです。効くのは、あなたが手口を知っていることだけ。

……つまり、この記事を読んでいる時点で、もう対策の半分は終わっています。 「その電話、ソーシャルエンジニアリングかも」と一瞬でも思えたら、それが最強の守りなんですね。敵の名前を知ることは、こわがることではなく、こわがらなくてよくなることなんです。

なお、シラバスは人的脅威の活用例として「情報セキュリティポリシーに基づく情報の管理」を挙げています（2026年7月時点・シラバスVer.6.5）。人が原因なら、人が守るルールが要る、というわけですね。そのルールの中身は、3回目のルールの回で扱います。

4.3 ビジネスメール詐欺（BEC）・二重脅迫・ダークウェブ

人的脅威の用語例には、あと3つ、新しめの語が並んでいます。

ビジネスメール詐欺（BEC。ビーイーシー。Business Email Compromise）……取引先や経営者になりすましたメールで、送金などをさせる手口
二重脅迫（ダブルエクストーション）……データを使えなくするだけでなく、「盗んだデータを公開する」と、もう1つ脅す手口
ダークウェブ……通常の方法ではたどりつけない、匿名性の高いネット上の領域。盗まれた情報が売買される場になっている、という文脈で用語例に挙がっています

ビジネスメール詐欺（BEC）は、営業や経理の仕事をしている方にはとくに身近です。いつもの取引先を名乗るメールで「振込先の口座が変わりました」と言われたら、見抜けるでしょうか。技術ではなく“いつもどおりに見えること”を武器にしてくるのが、この手口の怖さなんですね。

二重脅迫は、あとで出てくるランサムウェアとセットで理解する語です。ただし置き場所に注意。ランサムウェアは技術的脅威（②）、二重脅迫は人的脅威（①）の用語例です（2026年7月時点・シラバスVer.6.5）。「え、逆じゃないの？」と思うところですが、シラバスの並びは素直に受け取っておきましょう。

5. 技術的脅威＝マルウェア（この記事の山場その2）

さあ、いちばん有名な話です。「セキュリティ＝ウイルス」というイメージを持っている方も多いのではないでしょうか。そのイメージを、ここで1回だけ上書きさせてください。

5.1 マルウェアとコンピュータウイルスの関係（ここが最重要！）

マルウェア（malicious＝悪意のある＋ software）とは、悪いことをするために作られたソフトウェアの総称です。
たとえるなら、「悪いソフト」という棚。そして、コンピュータウイルス・ワーム・トロイの木馬は、その棚に並ぶ商品です。

つまり、マルウェアが総称で、コンピュータウイルスはその一種。 「マルウェア＞コンピュータウイルス」という関係です。ここ、逆に覚えている人がとても多いんですよね。

これはこちらの解釈ではありません。シラバスの用語例が、「マルウェア（コンピュータウイルス，ボット，スパイウェア，ランサムウェア）」と、マルウェアの括弧の中にコンピュータウイルスを入れて書いているんです（小分類61(3)②。2026年7月時点・シラバスVer.6.5）。原文の構造そのものが、答えを教えてくれているわけですね。

もう1つ、表記の注意を。シラバスの表記は「コンピュータウイルス」です。日常では「ウイルス」と略しますが、本番の画面では正式な形で出ると思っておきましょう。

5.2 ウイルス・ワーム・トロイの木馬のちがいは「寄生・自立・変装」

代表的な3つは、増え方と入り方で切ると一発で分かれます。

コンピュータウイルス……ほかのプログラムに寄生して、自分のコピーを増やす
ワーム……単独で自立して、自分で増える（寄生しない）
トロイの木馬……増えない。役に立つソフトのふりをして変装して入り込み、中で悪いことをする

合言葉は「寄生・自立・変装」。これだけで、3つは混ざりません。
トロイの木馬という名前は、大きな木馬の中に兵士を隠し、敵の町の中まで運び込ませたという古代の故事に由来すると言われています。「中身は敵なのに、贈り物の顔をして入ってくる」。 名前そのものが説明になっている、めずらしい用語ですね。

5.3 名前で覚えるより、「何をされるか」で覚える

技術的脅威の用語例は、まだまだ続きます。でも、目的で仕分けると、するっと入ります。

【情報を盗む】

スパイウェア……気づかれずに情報を集めて、外に送る
キーロガー……キーボードで打った内容を記録する。打った手元を、ずっと見られているようなもの

【使えなくする】

ランサムウェア（ransom＝身代金）……データを勝手に使えない状態にして、元に戻す代わりに金銭を要求する。名前が、そのまま意味なんですね

【遠隔で操る】

ボット……外部から遠隔で操られるタイプ
RAT（ラット）……遠隔から自由に操作できるようにしてしまうタイプ（※用語例には略称だけが載っています）

【入口を作る】

バックドア……こっそり作られた裏口。勝手に合鍵つきの裏口を作られるようなもので、一度入られると、あとから何度でも入られます

【その他の用語例】

マクロウイルス……文書ファイルなどのマクロ（自動処理の機能）を悪用するタイプ
ファイルレスマルウェア……ファイルの形で残らないタイプ。だから見つけにくい
ファイル交換ソフトウェア……それ自体が悪意のソフトではありませんが、情報漏えいの原因になってきたため、用語例に挙がっています
迷惑メール（スパム）……望んでいないのに大量に送られてくるメール

「じゃあ、どうやって防ぐの？」……そう思いましたよね。その道具の話が、まるごと次回です。今回は、敵の顔ぶれだけ覚えておきましょう。

6. 物理的脅威＝モノや場所そのものへの脅威

3つ目は、いちばんあっさりしています。用語例は3つだけです（小分類61(3)③。2026年7月時点・シラバスVer.6.5）。

災害……地震や火事で、機器が壊れる・使えなくなる
破壊……機器を、物理的に壊される
妨害行為……業務そのものを、邪魔される

ここで大事な一言を。セキュリティ＝ネットの話、と思いがちですが、シラバスはちゃんと「災害」も脅威に入れています。
火事でサーバが燃えたら、データは消えます。そこに、あやしいメールも侵入者も出てきません。でも、情報が失われるという結果は同じ。立派なセキュリティの問題なんですね。
たとえるなら、金庫ごと持っていかれる／金庫が火事で燃える。鍵をどんなに強くしても、関係がない世界です。だから脅威を3つに分けて見る必要がある、というわけですね。

7. 不正のメカニズム＝不正のトライアングル

小分類61(3)には、もう1つ独立した項目があります。なぜ人は不正に手を染めるのか、という話です。
不正のトライアングルとは、人が不正を行うとき、3つの条件がそろっている、という考え方です（小分類61(3)⑤の用語例。2026年7月時点・シラバスVer.6.5）。

機会……やろうと思えば、やれてしまう状況（だれも見ていない、1人に権限が集まっている）
動機……やりたい理由（お金に困っている、待遇に不満がある）
正当化……自分への言い訳（「借りるだけ」「これくらい当然の報酬だ」）

たとえるなら、3本足の椅子。1本でも抜けば、座れません。

さて、ここからが本題です。動機と正当化は、その人の心の中の話。会社にはどうにもできません。 でも、機会は、仕組みで減らせます。

だから、内部不正の対策は「機会をなくす」に集中するんですね。シラバスの項目本文も「内部不正による情報セキュリティ事故・事件の発生を防止するための環境整備の考え方」となっています（2026年7月時点・シラバスVer.6.5）。心を正すのではなく、環境を整える。

じつはこの考え方、システム監査の回でお伝えした職務分掌（1人に権限を集中させず、担当を分けてお互いにチェックさせること）と、まったく同じ発想です。お金を数える人と金庫の鍵を持つ人を分ける、というあれですね。あれこそ、「機会」をなくす工夫だったわけです。

8. 攻撃手法：名前と「何が起きるか」の概要をつかむ

最後は、小分類61(4)「攻撃手法」です。用語例がいちばん多い項目ですが、安心してください。
くり返しになりますが、シラバスが求めているのは「外部からの不正な行為と手法、及びそれらへの対策の概要」（2026年7月時点・シラバスVer.6.5）。原文の言葉は「概要」です。 ここでは名前と、何が起きるかをつかんでいきましょう。

なお、シラバスの用語例は、行ごとに性格の似た語がまとまって並んでいます。以下ではその並びに沿って見ていきますが、グループの名前は、覚えやすくするためにこちらで付けたものです（シラバスの分類ではありません）。

8.1 パスワードを破る系

辞書攻撃……よく使われる単語を、辞書のように順に試す。ありがちな暗証番号から試していくイメージ
総当たり（ブルートフォース）攻撃……考えられる組み合わせを、片っぱしから全部試す。0000から9999まで、というイメージ
パスワードリスト攻撃（クレデンシャルスタッフィング）……どこかで漏れたIDとパスワードの一覧を使って、別のサイトでログインを試す。よそで拾った鍵束を持って、片っぱしからドアに挿してみるイメージ

ここ、うれしい話があります。この3つ、効かなくする方法がぜんぶ同じなんです。推測しにくいパスワードを、サイトごとに変える。 これだけ。

とくにパスワードリスト攻撃は、使い回しがすべてです。同じパスワードを使い回していると、1か所漏れただけで、ほかのサイトまで開けられてしまう。 逆に言えば、使い回しをやめるだけで、この攻撃は成立しません。（くわしい話は次回に。）

8.2 Webサイトのスキを突く系

このグループは、名前と「何が起きるか」だけ押さえれば十分です。

SQLインジェクション……Webサイトの入力欄に特殊な文字を混ぜた文字列を入れて、裏側のデータベースを想定外に操作してしまう攻撃。インジェクション＝注入です
クロスサイトスクリプティング……サイトの表示のスキを突いて、他人のブラウザで意図しない動作をさせる
クロスサイトリクエストフォージェリ……ログイン中の利用者に、意図しない操作をさせてしまう
クリックジャッキング……見えないボタンを重ねておき、別のものを押させる
ドライブバイダウンロード……サイトを見ただけで、勝手にマルウェアがダウンロードされる。クリックしなくても、というのが怖いところ
ディレクトリトラバーサル……公開するつもりのないファイルの場所まで、たどられてしまう
バッファオーバーフロー攻撃……用意された入れ物より大きなデータを送り込んで、あふれさせる

SQLインジェクションは、少しだけ補足を。データベースの回でお伝えしたSQL（データベースに指示を出すための言語）、覚えていますか。あれを、悪意をもって「注入」する攻撃です。たとえるなら、注文票のすみに「ついでに金庫も開けて」と書き足されるようなもの。お店は、注文票に書いてあるとおりに動いてしまうんですね。

ディレクトリトラバーサルの「トラバーサル」は、横断・踏破という意味。ファイル管理の回で、`..`（1つ上の親） をやりましたよね。あの「1つ上へ」をどんどんさかのぼられて、立入禁止の奥まで入られてしまうイメージです。

8.3 通信に割り込む系

中間者（Man-in-the-middle）攻撃……通信する2人のあいだに、こっそり入り込む
MITB（エムアイティービー。Man-in-the-browser）攻撃……ブラウザの中に入り込むタイプ。中間者攻撃とのちがいは「どこに入るか」
セッションハイジャック……ログイン中のやりとりを、乗っ取る
IPスプーフィング……送信元のIPアドレスを偽る
DNSキャッシュポイズニング……DNSにウソを覚えさせて、偽のサイトへ誘導する
第三者中継（オープンリレー）……関係のないメールサーバを、迷惑メールの踏み台に使われる

ここは、前回までの知識がそのまま効きます。

まずIPスプーフィング。IPアドレス＝インターネット上の住所でしたよね。つまりこれは、差出人の住所を偽るということです。

そしてDNSキャッシュポイズニング。前回、DNS＝名前を伝えると住所を教えてくれる「あて名の案内所」だとお伝えしました。……その案内所が、ウソの住所を教えてきたら？

あなたは正しい名前を打ったのに、まったく別の場所に案内されてしまうわけです。案内所を信じているからこそ、疑いようがない。 これがこの攻撃の怖いところなんですね。

中間者攻撃も、前回の世界観そのままです。手紙を、郵便屋さんが途中で開けて読み、また封をして届ける。……そう、はがきと封筒の話でしたね。「じゃあ、どうすれば読まれずに済むのか？」その答え＝封をするしくみこそ、次回の暗号の回の主役です。

8.4 サービスを止める系

DoS（ドス。Denial of Service：サービス妨害）攻撃……大量のアクセスなどを送りつけて、サービスを使えなくする
DDoS攻撃（ディードス）……大勢（多数の機器）から、いっせいにDoS攻撃をする
クリプトジャッキング……他人の機器を、勝手に暗号資産の採掘に使う。気づかれにくく、機器が重くなる程度のことが多い

DoS攻撃のポイントは、盗むのではなく、止めるのが目的だということ。たとえるなら、1軒のお店に何百人もの冷やかし客を送り込んで、本当のお客さんが入れなくするようなもの。何も盗まれていないのに、営業できない。 これが被害の形です。

DDoSは、Dが1つ増えて「分散（Distributed）」。あちこちの街から、いっせいにやるイメージですね。

では、その「大勢」は、どこから来るのでしょうか。……マルウェアに感染して、遠隔で操られている機器たち（ボット）です。つまり、知らないうちに、自分の機器が加害者の側にされることもある。技術的脅威と攻撃手法は、こうしてつながっているんですね。

ちなみに、クリックジャッキング（8.2）とクリプトジャッキング（8.4）は、名前が似ているだけの別ものです。混同しやすいので、ここで並べておきますね。

8.5 だます系（フィッシングはここ）

標的型攻撃……特定の相手を狙い撃ちにする攻撃。「誰でもいいから」ではないのが特徴
APT（エーピーティー。Advanced Persistent Threat）……しつこく、長く続くのが特徴（原文では標的型攻撃の括弧の中）
水飲み場型攻撃……狙った相手がよく見に行くサイトに罠をしかけ、来るのを待つ
やり取り型攻撃……何度か普通のメールをやりとりして信用させてから、罠を送る
フィッシング……本物そっくりの偽サイト・偽メールで、情報を入力させる
スミッシング……SMS（ショートメッセージ）を使うフィッシング
ワンクリック詐欺……クリックしただけで契約が成立したかのように見せ、料金を請求する

標的型攻撃は、たとえるなら「誰でもいい」通り魔ではなく、あなたを名指しした手紙。だからこそ、内容が自然で、見抜きにくいんですね。

水飲み場型攻撃は、名前がそのまま例えになっています。サバンナの肉食獣が、水飲み場で獲物を待ち伏せる。……そこから来た呼び名なんですね。追いかけるのではなく、来るのを待つ。 一度知ったら、もう忘れません。なお、水飲み場型・やり取り型・APTは、シラバスの原文では標的型攻撃の括弧の中に入っています。つまり、標的型攻撃の仲間というわけです。

フィッシングは、「釣り」をイメージするとわかりやすいです（つづりは fishing ではなく phishing。由来には諸説あります）。本物そっくりのエサを垂らして、かかるのを待つわけですね。スミッシングは、そのSMS版。宅配便の不在通知を装ったSMS、届いたことはありませんか。

そして、ここも安心できる話です。フィッシングは、あなたが入力しなければ成立しません。 主導権は、こちら側にあるんですね。見分ける手がかりは、だいたい決まっています。

急かしてくる……「24時間以内に手続きしないと停止します」のような文言が多いです
メール内のリンクから入力させようとする……そこがいちばんの狙いどころだからです
いちばん確実な確かめ方……メールのリンクを踏まず、いつも使っているアプリやブックマークから確認する。これだけで、ほぼかわせます

ワンクリック詐欺への向き合い方も、同じ発想です。あわてて連絡しないこと。 連絡した時点で、相手はあなたの連絡先を知ることになりますからね。

8.6 穴を突く系

ゼロデイ攻撃……修正プログラムが用意される前に、その穴を突く攻撃
サービス及びソフトウェアの機能の悪用……穴ではなく、本来の機能をそのまま悪用する

ゼロデイという名前は、説明そのものです。対策が出た日を1日目とすると、その「0日目」＝まだ対策がない日に襲われる、というわけですね。

たとえるなら、鍵に欠陥が見つかったのに、まだ交換用の鍵が届いていない、その数日間を狙われるようなもの。「じゃあ防げないの？」と思いますよね。だからこそ「すぐ直せる体制」が大事になるのですが、その話は次回にとっておきましょう。

8.7 AIを狙う系（新しい用語例）

プロンプトインジェクション攻撃……AIへの指示（プロンプト）に細工をして、本来してはいけない動作をさせる
敵対的サンプル（Adversarial Examples）……AIが誤認識するように細工したデータ

ここ、面白い気づきがあります。インジェクション＝注入、でしたよね。

SQLインジェクション……データベースへの指示を注入する
プロンプトインジェクション攻撃……AIへの指示を注入する

やっていることは、同じ発想なんです。注文票に書き足すか、AIへのお願いに書き足すか。相手がちがうだけ。1つの型で、2語まとめて覚えられますね。

敵対的サンプルは、たとえるなら人間には普通に見えるのに、AIには別のものに見えてしまうような細工です。AIの時代らしい、新しい用語例ですね。

8.8 攻撃の準備（その前段階）

最後に、意外な用語例を1つ。攻撃の準備（フットプリンティング，ポートスキャンほか）。

フットプリンティング……攻撃の前に、対象の情報を下調べすること
ポートスキャン……どの入口（ポート）が開いているかを調べること

ポート番号＝部屋番号（内線番号）でしたよね。つまりポートスキャンは、部屋のドアを片っぱしからノックして、開いている部屋を探すことです。フットプリンティングは、空き巣が下見に来るイメージですね。

ここに、大事な事実があります。攻撃は、いきなり始まりません。必ず下調べがあります。 シラバスがわざわざ「攻撃の準備」を用語例に挙げているのは、そのためなんですね（2026年7月時点・シラバスVer.6.5）。

9. 次回への橋渡し

おつかれさまでした！　敵の顔ぶれは、これで見えましたね。

最後に、次回がラクになる話を1つ。この記事の骨格だった人的・技術的・物理的という3つの分け方、じつは守り方の側でも、まったく同じ3つで並んでいます。

人的な脅威には、人的な守り方
技術的な脅威には、技術的な守り方
物理的な脅威には、物理的な守り方

つまり、今日つくった3つの棚に、次回の内容がそのまま入っていくんです。この3分類を覚えておくだけで、次回の吸収率が変わりますよ。

今回で、敵の顔ぶれは見えました。次回は、こちら側の道具です。

10. まとめ：3行でふりかえり

情報セキュリティが守るのは情報資産（顧客情報・営業情報・知的財産関連情報・人事情報）で、脅威は襲ってくる側、脆弱性はこちら側のスキ。両方そろったときに被害が出ます。
脅威は人的脅威・技術的脅威・物理的脅威の3つ。人的脅威にはうっかり（紛失・誤操作）も含まれ、技術的脅威の中心がマルウェア（総称）で、コンピュータウイルスはその一種です。
攻撃手法は、シラバスも「概要」までとしています。名前と「何が起きるか」をつかめば十分で、ソーシャルエンジニアリングに効くのは、手口を知っていることだけです。

いかがでしたか？　カタカナの行列に見えていたものが、3つの棚と、いくつかの型に見えてきたのではないでしょうか。知らない名前はこわい。でも、知っている名前は、ただの知識です。 その差を、今日つくれましたね。

11. よくある質問（FAQ）

Q1. マルウェアとウイルスの違いは何ですか？

A. マルウェアは「悪意のあるソフトウェア」の総称で、コンピュータウイルスはその一種です。マルウェアのほうが広い言葉、と覚えてください。シラバスVer.6.5も「マルウェア（コンピュータウイルス，ボット，スパイウェア，ランサムウェア）」と、マルウェアの括弧の中にコンピュータウイルスを入れて記載しています（小分類61(3)②。2026年7月時点）。なお、シラバスの表記は「ウイルス」ではなく「コンピュータウイルス」です。

Q2. ウイルスとワームとトロイの木馬の違いは何ですか？

A. 増え方と入り方で分かれます。コンピュータウイルスはほかのプログラムに寄生して増え、ワームは単独で自立して増え、トロイの木馬は増えず、役に立つソフトのふりをして変装して入り込みます。合言葉は「寄生・自立・変装」。3つとも、シラバスVer.6.5の小分類61(3)②（技術的脅威）の用語例です（2026年7月時点）。

Q3. フィッシング詐欺の見分け方は？

A. 急かしてくる／メール内のリンクから情報を入力させようとする、というのが典型的な形です。いちばん確実なのは、メールのリンクを踏まず、いつも使っているアプリやブックマークから確認すること。これだけで、ほぼかわせます。フィッシングは、シラバスVer.6.5の小分類61(4)「攻撃手法」の用語例です（2026年7月時点）。SMSを使うものは「スミッシング」と呼ばれ、こちらも用語例にあります。

Q4. 脅威と脆弱性の違いは何ですか？

A. 脅威は襲ってくる側、脆弱性はこちら側のスキです。泥棒（脅威）と、鍵のかかっていない窓（脆弱性）の関係と考えるとつかみやすいですよ。シラバスVer.6.5は、脆弱性を「セキュリティインシデントが発生しやすくなる要因」としています（小分類61(3)。2026年7月時点）。なお、シャドーITは「脅威」ではなく、この脆弱性の用語例に入っています。

Q5. ITパスポートの攻撃手法は、どこまで覚えればいいですか？

A. シラバスVer.6.5の小分類61(4)は、「外部からの不正な行為と手法、及びそれらへの対策の概要」を理解対象としています（2026年7月時点）。原文にある言葉は「概要」です。つまり、攻撃の具体的な手順ではなく、名前と「何が起きるか」をつかむのが軸になります。まずは名前と一言をセットにして覚えていきましょう。