CSRF（クロスサイトリクエストフォージェリ）とは？被害リスクや対策方法

CSRF攻撃の仕組み

CSRF攻撃の仕組みは、ユーザーがログインしているセッションを悪用することにあります。この攻撃は、基本的に以下のような流れで実行されます。

この結果、パスワードの変更や金銭の送金など、企業や個人にとってリスクの大きい処理が意図せずに実行されます。

XSSとの違い

CSRFとよく比較される別の攻撃手法に、XSS（クロスサイトスクリプティング）があります。XSS攻撃は、悪意のあるスクリプトをWebサイトやWebアプリケーションに埋め込むことで、ユーザーのデータを盗んだり、不正な操作を行わせたりするサイバー攻撃です。

CSRF攻撃はWebアプリケーションのセッション管理を悪用するのに対し、XSS攻撃は出力処理の問題を悪用します。XSS攻撃では攻撃者が不正なスクリプトを埋め込み、第三者のユーザーがそれを実行することで被害に繋がります。

このようにCSRF攻撃とXSS攻撃では仕組みや手段が異なりますが、どちらもWebサイトやWebアプリケーションにとって深刻な脅威となるため、状況に適した事前対策が必要です。

【関連記事】XSS（クロスサイトスクリプティング）とは？攻撃手法と5つの対策を紹介

登録情報やパスワードが勝手に変更される

CSRF攻撃により、アカウントの登録情報やパスワードが無断で変更されることがあります。それに伴い、攻撃者によってアカウントが乗っ取られ、個人情報の漏洩や不正アクセスの危険にさらされる可能性があります。

口座から不正に送金される

攻撃者によって銀行や決済サイトのセッションが悪用され、ユーザーの口座から不正に送金が行われるケースもあります。この種の攻撃では、金銭的な被害が直接的に発生し、自分の意思に反して高額な被害が生じることとなります。

企業の機密情報が外部に漏洩する

企業の内部システムに対するCSRF攻撃により、機密情報が外部に漏洩するリスクも存在します。具体的には、重要なビジネス情報や顧客データ、アクセス情報などが含まれます。

このような攻撃は、企業の信頼性損失や法的責任、さらにはビジネスの存続にも関わる深刻な問題を引き起こす可能性があります。

悪意のある投稿や犯罪予告をされる

SNSなどのアカウントが乗っ取られ、悪意のある投稿や犯罪予告に利用されるリスクも考えられます。悪意のある投稿により、個人への誹謗中傷や企業への名誉毀損が発生し、結果としてユーザーが加害者として責任を問われることもあります。

はまちちゃん事件

2005年4月、SNSの「mixi」をターゲットとしたCSRF攻撃により、特定のURLをクリックすると勝手に「ぼくはまちちゃん！」というタイトルで⽇記がアップされてしまう現象が発生しました。日記が勝手に投稿されるだけで、幸いにも大きな実害はありませんでした。

サービスを提供しているイー・マーキュリーは、この件について「ハッキングでもなく、サーバ攻撃やウイルスでもない。ID盗難などの被害は発生していない」という回答をしており、「それ以上はコメントできない」とも述べています。実際、「はまちちゃん事件」ではIDなどの流出はありませんでしたが、CSRF攻撃の影響力を世間に知らしめるきっかけとなりました。

パソコン遠隔操作事件

2012年6⽉から9⽉にかけて、攻撃者が他人のパソコンを遠隔操作し、殺害や爆破予告など13件もの犯罪予告を行いました。これを受け、著名人を含む複数の容疑者が逮捕されました。

しかし、警察が逮捕された人物が使用していたパソコンを再度調べたところ、マルウェアが仕込まれていたことがわかり、パソコンが遠隔操作されて書き込みを行っていたことが判明。結果として、これらの逮捕は全て誤認逮捕だったのです。

その後、予告のあったサイトの脆弱性を狙ったCSRF攻撃だと判明し、長期にわたる捜査の結果、2013年2月に真犯人が逮捕されました。

Refererヘッダでリンク元を確認する

Refererヘッダを使用することで、リクエストが正当なものかどうかを確認できます。リクエストが信頼できるソースから送信されているかをチェックすることで、不正なアクセスを効果的に防ぐことが可能です。

サーバー側でRefererヘッダを検証することにより、悪意あるリクエストを事前に識別し、迅速に対処できるようになります。不正なリンク元からのリクエストを特定してブロックすることで、CSRF攻撃のリスク軽減に繋がるのです。

しかし、ブラウザの設定などでRefererの送信を無効にしている場合、サービスを利用できなくなる可能性があります。また、チェック漏れが発生するリスクもあるため、他の対策と併用して行うことが推奨されます。

ワンタイムトークンを使用する

ワンタイムトークンの使用もCSRF攻撃に対して有効です。この方法では、各フォーム送信ごとに一意のトークンが生成され、重要な処理が実行される際にトークンの確認が行われます。

トークンが一致せず、確認が完了しなかった場合、第三者からのリクエストは拒否されます。これにより、不正な操作が実行されることを事前に防止します。

ワンタイムトークンはセッションごとに生成されるため、攻撃者がトークンを予測することは非常に困難です。ワンタイムトークンの使用は突破されにくいCSRF対策だと言えます。

セキュリティ対策ソフトを導入する

CSRF攻撃を含むセキュリティ対策ソフトの導入は、自動的に不審なアクセスを検出し、阻止することに役立ちます。これにより、外部からの攻撃に対してより強固なセキュリティ環境を構築することが可能です。

セキュリティ対策ソフトは、定期的なアップデートを通じて新たな脅威に対応し、最新のセキュリティ基準に適応できるように設計されています。導入することで、攻撃の発見と対応を迅速に行えるようになります。