問題 No.6396
A社は、自社で運営するECサイトにおいて、顧客のクレジットカード情報を不正に取得されるインシデントが発生したことを公表した。調査の結果、ECサイトのショッピングカートシステムに存在した脆弱性が悪用され、決済画面を偽装した不正なスクリプトが挿入されていたことが判明した。このような、ECサイトのプログラムの脆弱性を突いて悪意あるコードを埋め込み、利用者のブラウザ上で機密情報を盗み出す攻撃手法として、最も適切なものはどれか。
【正解の解説】
クロスサイトスクリプティング
これは、みんなが使う掲示板やショッピングサイトに「見えない落とし穴」を仕掛けるようなものです。信頼されているサイトの裏側で、あなたのブラウザにこっそり悪意あるプログラムを読ませることで、入力したクレジットカード情報などの大切な秘密をそっくりそのまま盗み出す、巧妙なスリの手口に似ています。
スポンサーリンク
【その他の選択肢の解説】
SQLインジェクション
SQLインジェクションは、Webサイトの裏側にあるデータベースを直接攻撃して顧客リストなどを不正に覗き見たり書き換えたりする手法です。今回の問題のように、ユーザーのブラウザ上で動くスクリプトを使って情報を盗むクロスサイトスクリプティングとは、攻撃のターゲットがサーバー側かブラウザ側かという決定的な違いがあります。
バッファオーバーフロー
バッファオーバーフローは、コップに水を注ぎすぎたときにあふれてしまう現象のように、メモリの許容量を超えるデータをわざと送り込んでシステムをクラッシュさせたり、勝手に任意のプログラムを実行させたりする古典的な脆弱性のひとつです。ブラウザ上のスクリプトで情報を盗み出す今回の事例とは仕組みがまったく異なります。
クロスサイトリクエストフォージェリ
クロスサイトリクエストフォージェリは、すでにログインしているユーザーが自分の意思とは無関係に、掲示板への書き込みやパスワード変更などの処理を勝手に行わされてしまう仕組みです。利用者のブラウザ上で偽の入力画面を表示して機密情報を直接盗み出す今回の手口とは、目的や攻撃のメカニズムが異なります。