日本脆弱性総合ポータル

二段階認証したのに乗っ取られる？ フィッシング詐欺の仕組み

公開日 2026.10.19

解説動画の一覧に戻る

確認コードを入力し、ログインにも成功した。それなのに、アカウントを乗っ取られる。そんなフィッシング詐欺は、どうやって成立するのでしょうか。 攻撃者が狙うのは、パスワードだけではありません。本物のサービスとの通信を中継し、認証を終えた後の「ログイン済みの証」まで盗もうとします。 この動画では、メールが届いてからログインするまでの流れをたどり、フィッシングの手口と、それぞれの対策が守る範囲を図解します。 ・SPF・DKIM・DMARCは、何を確かめているのか ・短縮URLやリダイレクトで、入口と到着先が変わる仕組み ・QRコードからは、そのままでは分からない行き先 ・HTTPSやTLS証明書があっても、詐欺サイトとは限らないと言えない理由 ・リバースプロキシを悪用したAiTMと、セッションCookieの窃取 ・公式アプリからの確認、ログイン状態の無効化、パスキーによる対策 「認証に通った」「暗号化されている」という言葉だけで、安全の確認が終わるわけではありません。 何が確かめられ、誰との通信が守られているのか。その仕組みを知ると、いつものログイン画面の見え方が変わります。 タイムライン

YouTubeで見る動画のページ · 別タブで開く

この動画に関係する事例