【正解の解説】
攻撃者は、標的となるユーザーのログインパスワードを直接盗み出すことを目的として、偽のサイトから正規サイトへリクエストを送信させる。
クロスサイトリクエストフォージェリは、他人の家に勝手に合鍵で入り込んで金品を盗む空き巣のようなものではなく、家主が家にいる隙に玄関の鍵が開いている状態を利用して、家主の意思とは無関係に勝手な買い物の注文用紙をポストに投函させるような手口です。つまり、パスワード自体の窃盗ではなく、すでにログインして鍵が開いたままのブラウザの権利を悪用して、勝手に掲示板へ書き込みをさせたり商品を勝手に購入させたりするのが本質です。
【その他の選択肢の解説】
攻撃者は、ユーザーが意図しない何らかの処理を正規サイト上で実行させるために、悪意あるスクリプトやリンクを閲覧させる。
この選択肢の内容はまさにCSRFそのものを指しており、問題文が「不適切なもの」を求めているため、正解ではなく誤りとなります。本番の試験ではこのように「正しい説明があえて誤答として混ざっている」ことがあるため、問題文の聞き方をしっかりと読み取る必要があります。攻撃者は掲示板のリンクや悪意ある画像タグなどを用いて、ユーザーが気づかないうちに裏側で勝手にボタンを押させるようなリクエストを送信させます。
攻撃者は、信頼できるサイトになりすまして不正なメールを送信し、閲覧者から直接クレジットカード情報を入力させる。
クレジットカード情報などを直接入力させる手口は、巧妙な偽メールや偽サイトに誘導してユーザー自身にキーボードを叩かせるフィッシング詐欺の典型的な特徴です。一方、今回のテーマであるCSRFは、ユーザーが自ら情報を入力するのではなく、ブラウザの自動送信機能を悪用して知らないうちに裏で処理を実行させる点が大きく異なります。このように、言葉の響きが似ていなくても、手口の根本的な違いを整理しておくことが合格への近道となります。
攻撃者は、ユーザーのブラウザに保存されているCookieやセッションIDを不正に取得して、セッションそのものを乗っ取る。
セッションハイジャックは、通行証である身分証明書そのものをスリ取って本人になりすます手口です。これに対してCSRFは、身分証明書は本人のポケットに入ったままでありながら、本人があたかも『この手続きをお願いします』と頼んでいるかのように、裏でこっそり処理を代行させる手口です。どちらもログイン中のセッションが悪用される点は似ていますが、データを直接盗むのか、それとも機能や権限を強制的に利用させるのかという明確な違いが存在します。