Security glossary
サイバー攻撃手法の用語一覧
代表的なサイバー攻撃の名称と意味を、防御・検知・初動対応の観点から整理しています。攻撃再現ではなく、被害を防ぐために知っておくべき特徴を解説します。
77 語を収録
Terms
攻撃手法の用語
Access Broker 発展 Access Broker 侵害済みアカウント、VPN認証情報、RDPアクセスなどを入手・販売し、別の攻撃者へ初期アクセスを渡す主体。 意味と関連用語を見る Account Takeover 発展 Account Takeover 第三者が利用者アカウントを不正に支配する状態。漏えいパスワード、フィッシング、セッション窃取、OAuth同意悪用などが原因になる。 意味と関連用語を見る AiTM 発展 Adversary-in-the-Middle 攻撃者が正規サービスと利用者の間に入り、認証情報やセッションを中継・窃取するフィッシング手法。 意味と関連用語を見る APT 発展 Advanced Persistent Threat 国家支援組織や高度な技術を持つ攻撃グループによる長期・潜伏型の標的型攻撃。数ヶ月〜数年かけて侵入・維持・情報収集を行う。Lazarus Group（北朝鮮）・Cozy Bear（ロシア）などが代表的なAPTグループ。 意味と関連用語を見る BEC 発展 Business Email Compromise 取引先や経営者になりすまして送金、請求書変更、機密情報送付を促すビジネスメール詐欺。 意味と関連用語を見る BOLA 発展 Broken Object Level Authorization APIなどで、利用者がアクセスしてよいオブジェクトかを十分に確認せず、他者データへアクセスできてしまう認可不備。 意味と関連用語を見る Brand Impersonation 発展 Brand Impersonation 実在ブランド、取引先、社内組織になりすまし、利用者に誤操作や情報入力を促す攻撃。 意味と関連用語を見る Confused Deputy Problem 発展 Confused Deputy Problem 高い権限を持つ仲介サービスが、依頼者や対象を正しく区別できず、攻撃者の依頼を正当な顧客の権限で実行してしまう設計上の問題。 意味と関連用語を見る CORS Misconfiguration 発展 CORS Misconfiguration CORS設定が広すぎたり認証付きリクエストと組み合わさったりして、意図しないオリジンからAPI利用を許す状態。 意味と関連用語を見る Credential Exposure 実務 Credential Exposure パスワード、APIキー、トークン、秘密鍵などの認証情報が、ログ、リポジトリ、チャット、端末などに露出すること。 意味と関連用語を見る Credential Harvesting 発展 Credential Harvesting ログインID、パスワード、トークン、MFAコードなどの認証情報を大量または継続的に収集する行為。 意味と関連用語を見る Credential Stuffing 発展 Credential Stuffing 他サービスから漏えいしたIDとパスワードの組み合わせを使い、別サービスへのログインを試す攻撃。 意味と関連用語を見る CSRF 発展 Cross-Site Request Forgery 認証済みユーザーに悪意のあるサイトを訪問させ、意図しないリクエストをターゲットサイトに送信させる攻撃。CSRFトークンとSameSite Cookie属性で対策する。 意味と関連用語を見る Data Exfiltration 発展 Data Exfiltration 組織内のデータが、許可されていない外部の場所へ持ち出されること。侵害調査で重要な確認対象になる。 意味と関連用語を見る DDoS攻撃 発展 DDoS Attack 多数のホスト（ボットネット）から同時に大量のトラフィックを送り、標的サービスをダウンさせる攻撃。ボリューム型・プロトコル型・アプリケーション層型がある。 意味と関連用語を見る Dependency Confusion 発展 Dependency Confusion 内部パッケージと同名の公開パッケージを用意し、ビルドやインストール時に誤って取得させる攻撃。 意味と関連用語を見る Device Code Phishing 発展 Device Code Phishing デバイスコード認証の仕組みを悪用し、利用者にコード入力や認可操作をさせるフィッシング手法。 意味と関連用語を見る DNSキャッシュポイズニング 発展 DNS Cache Poisoning DNSリゾルバのキャッシュに偽の名前解決情報を注入し、正規ドメインへのアクセスを攻撃者が制御するサーバーに誘導する攻撃。DNSSECによるデジタル署名検証で対策できる。 意味と関連用語を見る Email Spoofing 発展 Email Spoofing 差出人メールアドレスや表示名を偽装し、正規送信者のように見せるなりすまし手法。 意味と関連用語を見る Golden Ticket 発展 Golden Ticket Active DirectoryのKerberosにおいて、KRBTGTキーを悪用して任意の認証チケットを作成する攻撃概念。 意味と関連用語を見る Homograph Attack 発展 Homograph Attack 見た目が似た別文字を使い、正規ドメインやサービス名に見せかけるなりすまし手法。 意味と関連用語を見る Indirect Prompt Injection 発展 Indirect Prompt Injection Webページ、メール、文書など外部コンテンツに埋め込まれた指示をLLMが読み、意図しない動作につながるリスク。 意味と関連用語を見る Invoice Fraud 発展 Invoice Fraud 請求書や支払依頼を偽装し、送金先変更や架空請求によって金銭被害を狙う不正行為。 意味と関連用語を見る Kerberoasting 発展 Kerberoasting Active Directory環境でサービスアカウントに関連するKerberosチケットを狙い、弱いパスワードを悪用する攻撃概念。 意味と関連用語を見る Living off the Land 発展 Living off the Land OSや管理ツールなど正規機能を悪用し、追加マルウェアを目立たせずに攻撃を進める手法。 意味と関連用語を見る LLM Data Leakage 発展 LLM Data Leakage LLMやAIアプリへの入力、ログ、学習、RAG連携、プラグイン経由で機密情報が意図せず外部や別利用者へ漏れるリスク。 意味と関連用語を見る LOLBin 発展 Living off the Land Binary 攻撃に悪用されうるOS標準または正規の実行ファイル。防御側は利用文脈とコマンドラインを監視する。 意味と関連用語を見る Lookalike Domain 発展 Lookalike Domain 正規ドメインに似せた文字列や綴りを使い、利用者に本物と誤認させるドメイン。 意味と関連用語を見る Malicious Package 発展 Malicious Package パッケージレジストリや依存関係に紛れ込み、インストール時や実行時に不正な動作をする悪意あるパッケージ。 意味と関連用語を見る Mass Assignment 発展 Mass Assignment 外部入力をそのままオブジェクトへ割り当てることで、本来変更できない属性まで更新される脆弱性。 意味と関連用語を見る MFA Fatigue 発展 MFA Fatigue 攻撃者がMFA通知を繰り返し送り、利用者の疲れや誤操作を誘って承認させる攻撃。 意味と関連用語を見る OAuth Consent Phishing 発展 OAuth Consent Phishing 偽または悪意あるアプリのOAuth同意画面で権限を許可させ、メールやファイルなどへアクセスする攻撃。 意味と関連用語を見る Pass-the-Cookie 発展 Pass-the-Cookie 盗まれたセッションCookieを使い、パスワードやMFAを再入力せずにログイン済み状態を悪用する攻撃。 意味と関連用語を見る Password Spraying 発展 Password Spraying 多数のアカウントに対して少数のよく使われるパスワードを試す攻撃。単一アカウントのロックアウトを避けやすい。 意味と関連用語を見る Prompt Injection 発展 Prompt Injection LLMへの入力に、意図しない指示や制約回避を混ぜ込み、モデルの出力や判断を操作しようとする攻撃・誤用パターン。 意味と関連用語を見る QR Phishing 発展 QR Phishing QRコードを使って偽サイトや不審な認証画面へ誘導するフィッシング手法。 意味と関連用語を見る RAGポイズニング 発展 RAG Poisoning 検索拡張生成で参照する文書、埋め込み、索引などへ誤情報や悪意ある指示を混入させ、モデルの回答や後続操作を不正確・危険な方向へ誘導する脅威。 意味と関連用語を見る SEOポイズニング 実務 SEO Poisoning 検索結果で不正サイトを上位や目立つ位置へ表示させ、利用者を偽サイト、マルウェア配布、詐欺ページへ誘導しようとする手法。 意味と関連用語を見る Session Fixation 発展 Session Fixation 攻撃者が用意したセッションIDを利用者に使わせ、ログイン後のセッションを乗っ取る攻撃パターン。 意味と関連用語を見る Session Hijacking 発展 Session Hijacking 利用者のセッションIDやCookieを奪い、本人になりすましてサービスを利用する攻撃。 意味と関連用語を見る Shadow Admin 発展 Shadow Admin 明示的な管理者ロールではないが、権限委任や設定変更により実質的に管理者相当の操作ができるアカウント。 意味と関連用語を見る SIMスワッピング 発展 SIM Swapping 攻撃者が通信キャリアのサポートに被害者を騙って電話番号を自分のSIMカードに移管させる攻撃。SMS認証（2FA）を乗っ取り、銀行口座・暗号資産・SNSアカウントの乗っ取りに使われる。 意味と関連用語を見る SQLインジェクション 発展 SQL Injection WebアプリケーションのSQLクエリに悪意のある入力を注入し、DBを不正操作する攻撃。プリペアドステートメントで根本的に防御できる。OWASP Top 10の常連脆弱性。 意味と関連用語を見る SSRF 発展 Server-Side Request Forgery サーバー側に任意の外部・内部URLへリクエストさせてしまう脆弱性。内部サービスやメタデータへの到達が問題になる。 意味と関連用語を見る Subdomain Takeover 発展 Subdomain Takeover DNSが削除済みクラウドサービスなどへ向いたまま残り、第三者がそのサブドメインを乗っ取れる状態。 意味と関連用語を見る Token Replay 発展 Token Replay 取得済みのトークンや署名付きリクエストを再利用し、正規の操作に見せかける攻撃パターン。 意味と関連用語を見る Typosquatting 発展 Typosquatting 正規ドメインやサービス名に似た綴りのドメインを使い、誤入力や見間違いを狙うなりすまし手法。 意味と関連用語を見る Vendor Email Compromise 発展 Vendor Email Compromise 取引先や委託先のメールアカウントが侵害され、請求、送金、情報提供を装った不正連絡に使われる事象。 意味と関連用語を見る XSS 発展 Cross-Site Scripting 攻撃者が悪意のあるスクリプトをWebページに埋め込み、他ユーザーのブラウザで実行させる攻撃。反射型・蓄積型・DOMベースの3種類がある。CSPとHTMLエスケープで対策する。 意味と関連用語を見る インフォスティーラー 発展 Infostealer 感染端末から認証情報・ブラウザ保存パスワード・セッションクッキー・暗号資産ウォレットなどを窃取することに特化したマルウェアの総称。窃取データは「ログ」として闇市場で売買され、後続のランサムウェアやアカウント乗っ取りの起点になる。 意味と関連用語を見る エクスプロイト 発展 Exploit 脆弱性を実際に突いて不正な動作を引き起こすコードや技法。バッファオーバーフロー・Use-After-Free・SQLインジェクションなど多様な種類がある。PoC（概念実証）コードが公開されると攻撃者がすぐ悪用するため、パッチ適用が急務となる。 意味と関連用語を見る クリプトジャッキング 発展 Cryptojacking 被害者のコンピュータを無断で使って暗号資産（Moneroなど）をマイニングさせる攻撃。ブラウザのJavaScript・マルウェア経由で感染し、CPU/GPUを占有するためシステムが著しく遅くなる。 意味と関連用語を見る 権限昇格 発展 Privilege Escalation 低い権限でシステムに侵入した攻撃者が、OSやアプリの脆弱性・設定ミスを悪用して管理者権限を得るプロセス。垂直（一般→管理者）と水平（他ユーザーへ）の2種類がある。 意味と関連用語を見る コンテナエスケープ 発展 Container Escape コンテナ内のプロセスが、ランタイムやカーネルの脆弱性、過剰な権限、危険なマウントなどを通じて分離境界を越え、ホストや他コンテナへ影響する状態。 意味と関連用語を見る サプライチェーン攻撃 発展 Supply Chain Attack ソフトウェアのビルドパイプライン・オープンソースライブラリ・ITベンダーなど「信頼されたサプライヤー」を踏み台にして最終標的に侵入する攻撃。SolarWinds事件（2020）・XZ Utils（2024）が代表例。 意味と関連用語を見る スピアフィッシング 発展 Spear Phishing 特定の個人や組織を狙い、事前調査をもとに文面を作り込んだ標的型のフィッシング攻撃。不特定多数に同一メールを送る通常のフィッシングと異なり、実在の取引先・上司・業務文脈を装うため成功率が高い。 意味と関連用語を見る スミッシング 発展 Smishing SMS（ショートメッセージ）を悪用したフィッシング攻撃。宅配業者・金融機関・公的機関を装ったSMSに偽サイトURLを含め、認証情報や個人情報を詐取する。スマートフォン利用者の増加とともに急増。 意味と関連用語を見る 脆弱性チェーン 発展 Vulnerability Chaining 単独では影響が限定的な複数の脆弱性や設定不備を組み合わせ、認証回避、権限拡大、情報取得など、より大きな影響へ到達する攻撃上のつながり。 意味と関連用語を見る ゼロデイ攻撃 発展 Zero-Day Attack パッチが未提供の脆弱性（ゼロデイ脆弱性）を突いた攻撃。ベンダーが脆弱性を認識した日を「Day 0」とし、それ以前から始まることが多い。防御が困難で価値が高い。 意味と関連用語を見る 送金先変更詐欺 実務 Payment Diversion Fraud 請求書や取引連絡になりすまし、正規の支払先口座を攻撃者が管理する口座へ変更させて資金をだまし取る、BECで多く見られる詐欺。 意味と関連用語を見る ソーシャルエンジニアリング 発展 Social Engineering 人間の心理的弱点を利用して機密情報を引き出したり不正行為を実行させたりする攻撃手法。技術的な脆弱性を使わず、欺瞞・信頼・権威・緊急性などを利用する。 意味と関連用語を見る 中間者攻撃 発展 Man-in-the-Middle (MitM) 通信する二者の間に割り込み、通信を傍受・改ざんする攻撃。ARP毒化・DNSスプーフィング・悪意のあるWi-Fiアクセスポイントなどを利用。TLSで防御できる。 意味と関連用語を見る ツールポイズニング 発展 Tool Poisoning AIエージェントが利用するツールの説明、メタデータ、実装、更新経路を不正または危険な内容へ変え、意図しない権限行使やデータ送信を誘導する脅威。 意味と関連用語を見る ディープフェイク 発展 Deepfake AIの深層学習（Deep Learning）で生成された偽の画像・音声・動画。本物そっくりに人物の顔や声を合成できる。ビッシング詐欺・なりすまし攻撃・ディスインフォメーションに悪用される。 意味と関連用語を見る ドメインなりすまし 実務 Domain Impersonation 正規組織のドメインと同一またはよく似たドメインを使い、メールやWebサイトを本物に見せて利用者の信頼を得ようとするなりすまし手法。 意味と関連用語を見る 取引先なりすまし 実務 Vendor Impersonation 攻撃者が実在する取引先の担当者、表示名、ドメイン、請求書の体裁をまねて、送金、情報開示、認証情報入力などを要求する詐欺手法。 意味と関連用語を見る バックドア 発展 Backdoor 正規の認証プロセスを迂回してシステムに不正アクセスできるように仕掛けられた隠し経路。攻撃者が侵入後に設置するケースと、ソフトウェアの開発段階に仕込まれるサプライチェーン型がある。 意味と関連用語を見る 表示名なりすまし 入門 Display Name Spoofing メールのFrom欄に表示される名前を経営者、同僚、取引先などに似せ、実際の送信元アドレスとの違いを見落とさせるソーシャルエンジニアリング手法。 意味と関連用語を見る フィッシング 発展 Phishing 正規のメール・Webサイトを装い、認証情報やクレジットカード情報を騙し取る攻撃。特定個人を狙うスピアフィッシング、経営幹部を狙うホエーリングが高度化している。 意味と関連用語を見る ブラウザ・イン・ザ・ブラウザ攻撃 発展 Browser-in-the-Browser Attack (BitB) Webページ内に本物の認証ポップアップに似せた偽ウィンドウを描画し、SSOや外部ログイン画面と誤認させて認証情報を入力させるフィッシング手法。 意味と関連用語を見る ブルートフォース攻撃 発展 Brute Force Attack パスワードや暗号鍵のすべての組み合わせを試す攻撃。アカウントロックアウト・レートリミット・長いパスワードで対策する。辞書攻撃はよく使われるパスワードのみを試す変種。 意味と関連用語を見る ボットネット 発展 Botnet マルウェアに感染した多数のコンピュータ（ボット）をC2サーバーから一元制御するネットワーク。DDoS攻撃・スパム送信・クリプトジャッキング・クレデンシャルスタッフィングに悪用。Emotet・Mirai（IoT）が有名。 意味と関連用語を見る マルウェア 発展 Malware 悪意のあるソフトウェアの総称。ウイルス・ワーム・トロイの木馬・ランサムウェア・スパイウェア・アドウェアなどが含まれる。感染経路はメール添付・Webサイト・USBメモリなど多様。 意味と関連用語を見る メンバーシップ推論 発展 Membership Inference モデルの出力や確信度などを観察し、特定のデータがそのモデルの学習に使われたかどうかを推定しようとするプライバシー上の脅威。 意味と関連用語を見る モデルインバージョン 発展 Model Inversion モデルの出力やアクセス可能な情報から、学習データに含まれる特徴や代表的な入力情報を推定・再構成しようとするプライバシー上の脅威。 意味と関連用語を見る モデル抽出 発展 Model Extraction 機械学習モデルへの多数の問い合わせと応答を利用し、元モデルの振る舞いや能力を近似する別モデルを構築しようとする脅威。防御では利用監視と出力制御を重視する。 意味と関連用語を見る ランサムウェア 発展 Ransomware 被害者のファイルを暗号化して身代金（Ransom）を要求するマルウェア。近年はデータ窃取も行うDouble Extortion型が主流。バックアップと端末分離が対策の柱。 意味と関連用語を見る