「見えないWeb攻撃」──情報漏えい対策の盲点

主戦場はWebブラウザ　忍び寄る「見えないクライアントサイド攻撃」の実態（2/2 ページ）

公開 2021年12月27日 15時11分

著者

中西一博

[ITmedia]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

主戦場はWebブラウザ内部、PCに潜むマルウェアにも注意

　クライアントサイド攻撃のようなブラウザを悪用する攻撃には、サーバからスクリプトを挿入する以外の手法も存在する。次に挙げる2つの例は、アカマイ・テクノロジーズの検知システム（図中でPIMと表記）が、日本のサイトで捉えた攻撃だ。

　1つ目の攻撃は、ECサイトにアクセス中のブラウザ内で検知した。PCに侵入済みのマルウェアが、利用中のブラウザを通して攻撃者のサーバと通信を試みていた。マルウェアが追加の命令や更新コードを受け取ろうとしていたと考えられる。

PC内のマルウェアがWebブラウザを悪用

　2つ目は、金融サービスのオンライン振り込み時に、ブラウザ内部で送金先や送金金額を書き換えて口座の資金を盗む「マン・イン・ザ・ブラウザ」（MITB）という攻撃の一種だ。このケースでもPC内に潜伏していたマルウェアが、ブラウザを通して、外部と通信を試みたところを検知した。

金融機関へのマン・イン・ザ・ブラウザ攻撃

　海外のサイトでは、日本とは異なる攻撃手法も確認した。ユーザー自身が意図してインストールしたブラウザ拡張機能が、ユーザーが閲覧する全てのページに悪性のスクリプトを挿入し、認証情報やクレジットカード情報などを窃取しようとするものだ。

　これらの例に共通するのは、PCに潜むマルウェアがブラウザを悪用する点だ。考えられる理由としては、攻撃者が狙う情報がブラウザ上で扱われていることに加え、マルウェアが直接OS上で外部サーバとの通信を始めるとアンチウイルスソフトに阻止されることから、ブラウザとのプログラム間通信を使い、検知を免れようとしているのだろう。

　こういった攻撃の場合、守る側はサーバサイドのセキュリティ対策だけでなく、クライアントサイドのセキュリティ対策まで理解する必要がある。とはいえ、ブラウザ内部のセキュリティ機構の仕組みや、それらの限界、ブラウザ内データ分離の実装の違いまで理解しているセキュリティ管理者は多くない。

　主戦場となっているブラウザ内で起きている攻防を認知するには、まずブラウザの備えるセキュリティ対策の仕組みと弱点をあらためて学ぶ必要があるだろう。この他にも、サイトのセキュリティ管理者が陥りがちな誤解はいくつかある。