「フィッシング」と「標的型攻撃メール」は、どちらもメールでだます攻撃なので、試験勉強では混ざりやすい用語です。違いをひとことで言うと、フィッシングは偽サイトで情報を盗む手口、標的型攻撃メールは特定の組織をねらってマルウェアに感染させる手口です。
この記事では、2つの違いを表で整理し、見分け方と対策、試験での考え方までまとめます。内容はIPA（独立行政法人 情報処理推進機構）が2026年8月3日に公開した「企業組織を狙う攻撃メールの手口とその対策」などで確認しています。
IPAの情報セキュリティマネジメント試験シラバス（Ver.3.2）には、「標的型攻撃（APT、水飲み場型攻撃ほか）」や「フィッシング」が用語例として挙がっています。また、対策の例として「標的型メールに関する訓練」も記載されています。（2026年10月27日確認）
結論：「だます相手」と「ねらい」で区別する
2つの違いは、次の3つの観点で整理できます。
- ねらう相手：フィッシングは不特定多数、標的型攻撃メールは特定の組織や人
- ねらい：フィッシングは認証情報（IDやパスワードなど）の詐取、標的型攻撃メールは機密情報の窃取などが主な目的
- 仕掛け：フィッシングは偽サイトへのリンク、標的型攻撃メールはマルウェア入りの添付ファイルやリンク
IPAのマニュアルでは、フィッシングメールは一般に同じ文面を不特定多数に送る「ばらまき型」の一種と説明されています。一方、標的型攻撃メールは、標的をあらかじめ決め、その業務内容を調べ上げたうえで、業務に関連した攻撃メールを送るとされています。
比較表：フィッシングと標的型攻撃メールの違い
フィッシングはSMSでも届きます。SMS（ショートメッセージサービス）を使うフィッシングは、スミッシングと呼ばれることがあります。
フィッシングの特徴：あわてさせてリンクを押させる
IPAのマニュアルによると、フィッシングメールの典型的な手口は緊急性の強調です。たとえば「メールボックスの容量を超えたので、新しいメールが受信できません」と伝え、対応のためと称してリンクを押させます。リンクの先には本物そっくりの偽のログイン画面があり、入力したIDとパスワードが攻撃者に渡ります。
注意したいのは、偽サイトの中には、入力された情報をその場で本物のサイトに入れ直すリアルタイムフィッシングがあることです。ID・パスワードのあとにワンタイムパスワードの入力画面まで出して、多要素認証を突破しようとします。同マニュアルは、リアルタイムフィッシングを使う攻撃が増えていると説明しています。
多要素認証を入れていても、偽サイトに入力してしまえば突破される場合があります。「多要素認証があるから大丈夫」と決めつけず、そもそも偽サイトに入力しない習慣が大切です。
標的型攻撃メールの特徴：調べてから、業務に合わせて送る
標的型攻撃は、特定の組織に対して行われ、主に機密情報の窃取を目的とした活動です。その入口の一つが標的型攻撃メールで、添付ファイルや本文のリンク先にマルウェアを仕込み、開いたパソコンを感染させます。
特徴は、受け取る人が開かざるを得ない、または興味をひかれる内容になっていることです。知らない人からのメールでも、自分の業務に関係する件名なら、つい開いてしまいます。攻撃者がSNSや公開情報で相手を調べてから文面を作る場合もあります。
標的型攻撃を行う攻撃者は、国家の支援を受けた集団から、産業スパイのような犯罪グループまで多様です。侵入後に長く活動を続ける攻撃者もいて、そうした攻撃者をAPT（Advanced Persistent Threat：高度で持続的な脅威）と呼ぶことがあります。
見分け方：文面ではなく「確かめ方」で守る
どちらの攻撃も、文面や見た目を整えるのは簡単です。そのため、中身で見抜こうとするより、確かめる手順を決めておくほうが確実です。IPAのマニュアルでは、不審なメールが届いたときの対応として次の点が挙げられています。
また、同マニュアルは、メールソフトに表示される差出人は、送信元の組織がSPFやDMARCなどの送信元詐称対策を適切に行っていない場合は偽装できると注意しています。差出人が正しく見えても、過信しないことが大切です。
もしリンクを押したり、添付ファイルを開いたりしてしまったら、隠さずにすぐ報告します。IPAの初動対応の例では、偽サイトにパスワードを入力したなら至急変更し、同じパスワードを使い回しているサービスも変更します。添付ファイルを開いた場合は、パソコンをネットワークから切断します。
対策：組織の仕組みと一人ひとりの行動
IPAのマニュアルでは、事前の対策として、次のようなルールを定めることが挙げられています。
攻撃の文面は変化し続けます。そのためIPAは、特定の文面だけに注意するのではなく、不自然で不審なメールに広く気づけるよう、意識を高める教育が望ましいとしています。
UTMや、通信を監視する仕組みの違いは、IDS・IPS・WAFの違いの記事でも整理しています。攻撃の用語（脅威・脆弱性・リスク）の整理には、脅威・脆弱性・リスクの違いも役立ちます。
試験での問われ方と考え方
試験では、手口の名前と特徴を結びつける問い方が考えられます。次の順で考えると整理しやすくなります。
- 「不特定多数に送る」「偽サイトで入力させる」ならフィッシング（SMSならスミッシング）
- 「特定の組織の業務に合わせた」「添付ファイルでマルウェアに感染させる」なら標的型攻撃メール
- 「長期間、目的をもって続ける」ならAPT
- 対策を問われたら、報告の窓口と訓練、多要素認証など、人と仕組みの両面から考える
科目Bでは、標的型メール訓練を計画する場面など、状況を読んで対策を選ぶ問い方もあります。「開いてしまった人を責めない」「すぐ報告できる仕組みにする」という視点を持っておくと、選択肢を絞り込みやすくなります。
フィッシングは「不特定多数に、偽サイトで入力させる」、標的型攻撃メールは「特定の組織に、業務を装ってマルウェアに感染させる」と覚えましょう。
講座での学び方
この論点は、メールの種類ごとに「ねらう相手・入口・目的」を並べると、記憶に残りやすくなります。情報セキュリティマネジメント講座では、フィッシングと標的型攻撃の授業で、手口の流れと確かめ方、対策を順に学べます。料金は月額 817円〜（年額プラン9,800円・一括払いの月あたり）です。月額プランは2,980円です。最新の料金は講座ページで確認してください。
よくある質問
Q. フィッシングと標的型攻撃メールは、まったく別の攻撃ですか？
入口がメールという点は同じですが、ねらう相手とねらいが違います。フィッシングは不特定多数から認証情報を盗み、標的型攻撃メールは特定の組織の機密情報などをねらいます。
Q. 日本語が自然なら、本物と考えてよいですか？
いいえ。文面は整えられるため、日本語が自然かどうかでは判断できません。リンクや添付を開く前に、メール以外の方法で相手に確認するのが基本です。
Q. メールを開いただけで感染しますか？
IPAのマニュアルでは、添付ファイルやリンク先にマルウェアが仕込まれると説明されています。不審なメールは添付を開かず、リンクを押さずに報告してください。
まとめ
- フィッシングは偽サイトで認証情報を盗み、標的型攻撃メールは特定の組織にマルウェアを感染させる
- フィッシングは「ばらまき型」の一種で、標的型は相手の業務を調べて送る
- 文面では見抜けないため、開かずにメール以外の方法で確認し、すぐ報告する
- 対策は多要素認証・訓練・報告体制など、仕組みと行動の両方で行う
試験の出題範囲や用語は、IPAの最新の公式情報で確認してください。
