多くのサイバー攻撃には、手法や利用するマルウェアなどによって名前が付けられています。しかし、英語のままであることも多いため、一見するとどういう攻撃なのかわからないことも多いのではないでしょうか。

そこで今回は、Webサイトをきっかけとするサイバー攻撃を中心に紹介します。

クリックジャンキング

クリックジャンキングとは、Webサイト上に偽装（または隠蔽）したリンクやボタンを設置する攻撃です。攻撃者が設置したリンクやボタンをクリックすると、ユーザーが意図していない操作をするよう誘導させます。

基本的にクリックジャンキングでは、巧妙に正常なリンクやボタンに似せた「偽装リンク」「偽装ボタン」あるいは「透明レイヤーによる隠蔽」という手法が利用されます。また、こうした攻撃用のパーツを設置するのは、悪意を持ったサイト運営者だけとは限りません。組織や個人のWebサイトを改竄するケースもあります。

不正なリンクやボタンをクリックすると、意図していない不正なサイトにアクセスさせられてしまいます。その結果、「個人情報やクレジットカード情報などが窃取される」「マルウェアをダウンロードさせられてしまう」といった被害に繋がります。

リンクやボタンをクリックする前に、リンク先を確認する習慣があれば、多くのクリックジャンキングの被害はなくなります。しかし、日常的にWebサイトを閲覧していると、クリックする前にリンク先を確認することが難しいのも事実です。特にいつも訪問するサイトであれば、多くの人は疑いを持つことなくボタンやリンクをクリックしてしまうでしょう。そのため、クリックジャンキングへの対策は、「最新のWebブラウザを使用する」あるいは「セキュリティ対策ツールを導入する」といった地道な方法がメインになります。

SQLインジェクション

WebサイトやWebアプリケーション、およびデータベースシステムに対する攻撃です。Webサイトがバックエンドで接続しているデータベースに対して不正なSQLコードを送信することで、データベースに格納されている各種情報の窃取、およびデータの改竄などの攻撃を実行します。

一般的にWebアプリケーションは、ユーザーからの情報を受け取り、それをデータベースに対するクエリ（問い合わせ）の一部として扱います。攻撃者は、入力フォームやURLパラメーターなどの入力欄に不正なSQLコードを挿入することで、データベースを不正に操作します。

SQLインジェクション攻撃が成功すると、攻撃者はデータベースから機密情報を窃取する、データを改竄する、あるいはシステム全体を乗っ取るためのクレデンシャル情報などを窃取します。

Webサイトの開発者や管理者は、SQLインジェクション対策として、次のようなことを検討する必要があるでしょう。

入力されるデータの検証やエスケープ処理などの入念なチェック
データベースアクセスの制限
セキュリティパッチの更新など最新のセキュリティ対策

ログイン機能を持つサイトを狙うCSRF

CSRF（Cross-Site Request Forgery：クロスサイトリクエストフォージェリ）とは、Webアプリケーションの脆弱性を利用するサイバー攻撃です。より具体的にはWebアプリケーションの「セッション管理」機能を悪用し、本人になりすまして不正なリクエストを送信するなど不正な操作を実行してしまいます。そのため、「セッションライディング」と呼ばれることもあります。

一般的なCSRFの攻撃手法としては、ユーザーがログインしているWebアプリケーションに似せた偽のWebページを作成し、そこに不正なリクエストを送信するコードを埋め込みます。そして、ユーザーがその偽のWebページにアクセスすると、JavaScriptなどのコードが実行され、ユーザーの知らないうちに不正なリクエストが送信される仕組みになっています。

CSRFによる被害は多岐に渡ります。比較的軽微な被害としては、「いたずらなどの書き込み」や「DoS攻撃」を意図せずに行ってしまいます。しかし、より深刻な被害になると、オンラインバンキングのログイン情報などを書き替えられ、自分の口座にアクセスできなくなる、不正に送金されてしまうといったケースもあります。

CSRFの被害に遭わないためには、ユーザー側とサービス運営側の両方に対策が必要ですが、ユーザー側でできる対策としては次のようなものがあります。いつどんなところにサイバー攻撃のきっかけが潜んでいるか分からないので、ネットワークへのアクセス時は常々注意していきましょう。

最新のWebブラウザを使用する
セキュリティ対策ツールを導入する
あやしいサイトにアクセスしない
オンラインバンキングなど機密性の高いサイトからは小まめにログアウトする（ログインしたままにしない）
多要素認証やセキュリティートークンなどを利用する

まとめ

クリックジャンキングはリンクやボタンを偽装または隠蔽して不正なサイトに誘導する
SQLインジェクションはWebサイトのバックエンドにあるデータベースを不正に操作する
CSRFではログイン機能を持つサイトが狙われる

企業の情報セキュリティ対策はハイパーの「セキュリティア」へ

診断から対策まで丸っとサポートいたします。

https://www.securitier.jp/

%3Ciframe%20width%3D%22560%22%20height%3D%22315%22%20src%3D%22https%3A%2F%2Fwww.youtube.com%2Fembed%2FQxluIilm5uc%3Fsi%3D8m9tU06CsD1PPXEc%22%20title%3D%22YouTube%20video%20player%22%20frameborder%3D%220%22%20allow%3D%22accelerometer%3B%20autoplay%3B%20clipboard-write%3B%20encrypted-media%3B%20gyroscope%3B%20picture-in-picture%3B%20web-share%22%20allowfullscreen%3D%22%22%3E%3C%2Fiframe%3E