ITの基礎理論から経営・マネジメントまで幅広い知識が問われる国家資格「基本情報技術者試験」。IT担当者が直面しやすいテーマを取り上げ、図解を交えながら実践的な知識を解説します。今回は、技術的脅威の中でも被害に遭いやすいマルウェアによる攻撃や、Webサイトに仕掛けられる手口について取り上げます。
「基本情報技術者試験」は、独立行政法人情報処理推進機構（IPA）が実施し、経済産業省が認定する国家試験です。「ITエンジニアの登竜門」として知られていますが、ITの基礎だけではなく、プロジェクトマネジメントや経営戦略、関連法規、会計など、ITをビジネスに活用するための幅広い知識が問われるのが特徴です。そのため、エンジニアのみならず、企業のIT担当者やDX（デジタルトランスフォーメーション）推進に関わるビジネスパーソンにとっても、実務に直結する知識を体系的に学べる資格として重要視されています。
本記事はSBクリエイティブ刊『【令和８年度】 いちばんやさしい 基本情報技術者 絶対合格の教科書＋出る順問題集』（高橋 京介 著）から、IT担当者が日々の業務で直面しやすい重要テーマをピックアップし、図解を交えながら解説します。今回は、技術的脅威の中でも被害に遭いやすいマルウェアによる攻撃や、Webサイトに仕掛けられる手口について取り上げます。
【令和８年度】 いちばんやさしい 基本情報技術者 絶対合格の教科書＋出る順問題集
著者：高橋 京介
SBクリエイティブ 1997円（税込み）
圧倒的な高評価！ 3年連続・売り上げ 第1位！
絶大な支持を得ている「基本情報技術者試験」対策本の令和8年度（2026年度）最新版です！
最新の『シラバス 9.x』にも完全対応。2026年度の最新傾向も反映！
マルウェア（Malware）とは、悪意のあるソフトウェアの総称です。これから解説する「ボット」「スパイウェア」「ランサムウェア」「キーロガー」「バックドア」などはすべて、マルウェアの一種です。また「コンピュータウイルス」もマルウェアの一種です。マルウェアは簡単に複製できるので、世界規模で攻撃が発生した事例もあります。
Malwareとは、「Malicious」（悪意ある）と「Software」（ソフトウェア）をつなげた造語です。
ボット（Bot）とは、攻撃者から遠隔で指令を受けて動作するプログラムです。通常、攻撃者はボットを感染させたPCを遠隔から操作します。
Botは「Robot」の略称です。感染させたコンピュータをロボットのように操ることから、このように呼ばれるようになりました。
スパイウェア（Spyware）とは、利用者に気づかれないように個人情報などを収集するプログラムです。
Spywareは「Spy」（諜報員）と「Software」をつなげた造語です。
ランサムウェア（Ransomware）とは、PCやファイルを使用不能にしたうえで、回復のための金銭（身代金）を要求するプログラムです。
ランサムウェアに感染すると勝手にファイルやデータが暗号化され、正常にアクセスできなくなります。
Spywareは「Spy」（諜報員）と「Software」をつなげた造語です。
キーロガー（Keylogger）とは、キーボード入力を記録するプログラムです。本来、キーロガーはソフトウェアの動作確認などに使われます。
一方、キーロガーが悪用されるケースもあります。具体例としては、ネットバンキングで利用者が入力したパスワードを収集することなどです。
Keyloggerは、キーボードの「Key」と「Log」（利用記録）をつなげた造語です。
バックドア（Backdoor）とは、システムに不正アクセスするための裏口です。
例えば、悪意のある人が、ユーザー認証が必要なWebサイトにバックドアとなるURLを設置したとします。すると、ユーザー認証をせずに、このURLから不正アクセスができてしまいます。
Backdoorは「裏口」という意味です。
私たちが普段利用しているWebサイトにも、何らかの攻撃が仕掛けられる可能性があります。ここでは基本情報技術者試験に出題される可能性の高い6つの攻撃を解説します。
フィッシング（Phishing）とは、利用者を偽サイトに誘導し、個人情報を入力させて、それらを不正に取得することです。
フィッシングの具体的な手法としては、銀行を装った偽のWebサイトの開設があります。悪意のある人は偽のWebサイトのリンクがついた電子メールを利用者に送ります。利用者はリンクの飛び先が本物の銀行のWebサイトだと信じ込み、暗証番号やクレジットカード番号などを入力してしまいます。こうすることで、悪意のある人が個人情報を盗み取ることができます。
Phishingは「Phreaking」（フリーキング：電話回線の不正使用）と「Fishing」（フィッシング：釣り）をつなげた造語です（諸説あります）。「被害者を騙して釣る」というニュアンスです。
ドライブバイダウンロード（Drive-by Download）とは、利用者が悪意のある
Webサイトを閲覧するだけで、マルウェアがダウンロードされる攻撃です。
Drive-byは、「車で立ち寄る」ことを意味します。Webサイト上のボタンをクリックしたわけでなく、単にWebサイトを閲覧しただけ（立ち寄っただけ）でマルウェアがダウンロードされることに由来します。
SEO（エスイーオー）ポイズニング（Search Engine Optimization Poisoning）とは、悪意のあるサイトを検索サイトの検索結果の上位に表示させ、より多くの利用者に閲覧させることです。SEOとは、検索エンジンの検索結果の上位にサイトが表示されるために行うさまざまな工夫です。このSEOを不正な手法で行うのがSEOポイズニングです。
DNS（ディエヌエス）キャッシュポイズニング（Domain Name System Cache Poisoning）とは、DNSサーバにキャッシュされているドメイン名とIPアドレスの対応を書き換える手法です。こうすることで、ユーザーを偽サイトに誘導することができます。
Poisoningは「毒を盛る」という意味です。「DNSサーバに毒を盛る」ということを表しています。
SQL（エスキューエル）インジェクション（Structured Query Language Injection）とは、Webアプリケーション上で、不正なSQL文を実行することで、データベースを改ざんしたり、不正にデータを取得したりする攻撃です。
この攻撃によってデータベースに保存されているクレジットカードなどの情報が盗まれてしまうことがあります。
SQL Injectionは、SQL文の中に不正なSQL文が注入（Injection）されるので、このように呼ばれます。
クロスサイトスクリプティング（Cross Site Scripting）とは、Webページにユーザーの入力データをそのまま表示するフォームがあるときに、第三者が悪意あるスクリプトをそのフォームに埋め込むことで、cookie（クッキー）などのデータを盗み出す攻撃です。
Cross Site Scriptingは「サイトを横断した」（Cross Site）、「スクリプト処理」（Scripting）という意味の造語です。
※この記事はSBクリエイティブ刊『【令和８年度】 いちばんやさしい 基本情報技術者 絶対合格の教科書＋出る順問題集』から、アイティメディアが出版社の許可を得て一部加筆編集の上、転載したものです（無断転載禁止）。
Copyright © ITmedia, Inc. All Rights Reserved.
瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓
MFA（多要素認証）を入れたから安心という常識が崩れ去っている。フィッシング集団「Tycoon2FA」が摘発されたが、脅威が完全になくなったというわけではない。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
