午前問60
オンラインバンキングにおいて、マルウェアなどでブラウザを乗っ取り、正式な取引画面の間に不正な画面を介在させ、振込先の情報を不正に書き換えて、攻撃者の指定した口座に送金させるなどの不正操作を行うことを何と呼ぶか。
| MITB(Man In The Browser)攻撃 | |
| SQLインジェクション | |
| ソーシャルエンジニアリング | |
| ブルートフォース攻撃 |
『情報処理過去問.com』からiPhoneアプリがリリースされました！！
正解
- ア
解説
オンラインバンキングの正規画面の途中に偽画面を差し込み、振込先を攻撃者側の口座に書き換えるような不正は、MITB(Man In The Browser)攻撃と呼ばれます。ユーザーPCに侵入したマルウェアがWebブラウザを支配し、Webサーバとの通信をブラウザ内で盗み見たり改ざんしたりします。ログイン検知後にセッションを乗っ取り、振込先口座番号をすり替えて不正送金させる被害例が典型です。改ざんがクライアント側で行われる点がMan-in-the-Middle攻撃(中間者攻撃)と異なり、サーバ側で不正処理を排除しづらいのが特徴です。
| ア. | MITB(Man In The Browser)攻撃 |
| 正解です。MITB(Man In The Browser)攻撃は、ブラウザを乗っ取り通信内容をブラウザ側で盗聴・改ざんする手口です。 | |
| イ. | SQLインジェクション |
| SQLインジェクションは、入力欄にデータベース命令を構成する文字列を混入させ、想定外のSQLを実行させてDBを不正操作する攻撃です。本問の手口とは異なります。 | |
| ウ. | ソーシャルエンジニアリング |
| ソーシャルエンジニアリングは、人の不注意や心理を突いてパスワードなどの秘匿情報をだまし取る総称です。ブラウザを乗っ取って通信を書き換える攻撃ではありません。 | |
| エ. | ブルートフォース攻撃 |
| ブルートフォース攻撃は、想定される文字種・桁数の全組合せを総当たりで試し、不正ログインや暗号鍵の発見を狙う手法です。通信改ざんや画面介在とは関係しません。 |