クロスサイトリクエストフォージェリ（CSRF：サイト横断リクエスト偽造）攻撃とは、Webアプリケーションの脆弱性を悪用する危険なサイバー攻撃です。

攻撃者は、Webアプリケーションが認証しているユーザーをターゲットにして、URL経由の直接リクエスト、画像タグによるGETリクエスト、XMLHttpRequestを介した非同期リクエストなど、さまざまな方法で偽造されたHTTPリクエストを送信して、ユーザーの意図しない操作を強制的に実行させます。

 ユーザーが正規の手順で行う操作を模倣しているため、攻撃の検出や防御が難しく、被害の影響範囲が広がりやすいことが大きな問題となっています。 被害としては、個人情報の流出、機密情報の漏洩、金銭の搾取、なりすまし、不正なアクションや、悪意のあるスクリプトの実行など、深刻なものが多数あります。

クロスサイトリクエストフォージェリ攻撃の仕組みとは、攻撃者が作成した悪意のあるリンクやスクリプトを踏み台にして、ユーザーがログインしているWebアプリケーション上で、攻撃者が意図した操作を実行するというものです。 手順の一例を紹介します。

クロスサイトリクエストフォージェリ（CSRF）とクロスサイトスクリプティング（XSS）は、混同されがちですが、両者は密接に関連しながらも大きな違いがあります。攻撃手法や目的の違いに応じて、異なる対策が必要です。

CSRFは、Webアプリケーションの脆弱性や、その脆弱性を狙う攻撃のことで、ユーザーに不正なリクエストを送信させることを目的としています。攻撃者は、ユーザーの認証情報を悪用してユーザーのブラウザーから偽造リクエストを送信させ、情報発信や不正送金、パスワードの変更などを行います。攻撃の手段としてXSSのスクリプトを利用することもあります。

XSSは、動的に生成されるWebサイトやサービスの脆弱性や、その脆弱性を狙う攻撃のことで、悪意のあるスクリプトの実行を目的としています。攻撃者は、スクリプトをWebサイトに埋め込み、ユーザーのブラウザー上でそのスクリプトを実行させ、セッションハイジャックや情報の窃取などを行います。

クロスサイトリクエストフォージェリ攻撃を受けやすいWebサイトには特徴があります。次のようなWebサイトの場合、CSRF攻撃の標的となる可能性が高くなるため、注意しましょう。特に、金融機関やショッピングサイトなど認証済みユーザーに機密操作や金銭処理を提供するサイトでは、クロスサイトリクエストフォージェリ対策は必須です。

認証済みユーザーに対する重要な操作を提供している

インターネットバンキングサイトの送金や口座情報の変更など、攻撃者がユーザーのアカウントを通じて重要な操作を行うことができるため、CSRF攻撃のリスクが高まります。クロスサイトリクエストフォージェリ対策は、特に厳格に実施する必要があります。

Webアプリケーションの脆弱性が放置されている

定期的なセキュリティアップデートが欠如していると、攻撃の窓口を広げ、攻撃者にとって格好のターゲットとなります。Webアプリケーションの開発者や管理者は、脆弱性のスキャンや修正を継続的に行い、最新のセキュリティパッチを適用することが重要です。

セッションIDをプレーンテキストで送信したり、Cookieで管理したりしている

攻撃者がセッションハイジャックを行い、ユーザーの認証情報を窃取する可能性があります。セッションIDは必ず暗号化し、HTTPSを使用して通信を保護しましょう。

セッションの管理が不十分である

攻撃者による不正な操作のリスクを高めます。セッションの有効期限、セッションの無効化、ログアウト機能などを適切に実装する必要があります。

トークンの管理が不十分である

攻撃者から、XSS攻撃や大量リクエストによる攻撃を受けやすくなります。リクエスト毎にランダムなトークンを生成し、正当なユーザーからのリクエストであることを確認する仕組みの導入などの対策が必要です。

リクエストの正当性検証機能が不十分である

攻撃者による偽造リクエストの送信を検出しにくくなります。Webアプリケーションは、リクエストの送信元を十分に検証し、正規のユーザーからのリクエストであることを確認する必要があります。

リクエストに適切なサニタイズ処理を行っていない

攻撃者が悪意のあるスクリプトを埋め込み、ユーザーのブラウザー上で実行するリスクを高めます。ユーザーからの入力データには、適切なエスケープやフィルタリングが必要です。

同一オリジン（プロトコル、ポート、ホスト）ポリシーに違反している

攻撃者によるCSRF攻撃のリスクを高めます。同一オリジンポリシーは、異なるオリジン間でのリソース共有を制限するものであり、適切に設定されているかどうかを確認する必要があります。

クロスオリジンリソース共有（CORS）を適切に設定していない

CORSは、異なるオリジンからのリクエストを制御するための仕組みであり、適切に設定されているかどうかを確認する必要があります。

クロスサイトリクエストフォージェリが、実際にどのような影響を及ぼすか、被害事例を見てみましょう。

クロスサイトリクエストフォージェリ（CSRF）攻撃による被害の中には、事件化した事例もあります。

2012年6月に、神奈川県横浜市の公式サイト上にある意見投稿コーナーで発生した事件です。横浜市保土ヶ谷区にある小学校の児童と教職員に対する無差別殺害予告が投稿され、投稿に使われたコンピューターの所有者である大学生が、容疑者として誤認逮捕されました。

真犯人が犯行声明を出し、クロスサイトリクエストフォージェリによる攻撃であると自白したことで解決に向かいましたが、この攻撃者は、同時期にPC遠隔操作事件を13件以上起こしており、単独犯による大規模なサイバー攻撃となりました。

2005年4月に、大手SNSサービス「mixi」で発生した事件です。「こんにちはこんにちは！！」という言葉とリンクを含む日記をあるユーザーが投稿したことに端を発します。

リンクをクリックすると、クリックしたユーザーも、元の投稿内容を複製した「ぼくはまちちゃん！」というタイトルの日記を意図せず投稿し、その投稿を見たユーザーがさらにリンクをクリックすることで被害が拡大していきました。

個人情報流出やID盗難などの深刻な被害はなかったものの、大手のWebサイトにも脆弱性があること、クロスサイトリクエストフォージェリの存在とセキュリティ対策の重要性を世に知らしめた事件でした。

先に紹介した有名な事例以外にも、CSRF攻撃による被害事例は数多く報告されています。攻撃の手法によりどのような被害が想定されるか見てみましょう。

クロスサイトリクエストフォージェリ攻撃では、攻撃者は悪意のあるスクリプトを作ってウェブページに埋め込みます。ユーザーが意図しないまま、ブラウザー上でそのスクリプトを実行してしまい、アカウントやセッションIDの窃取、個人情報の漏洩、ページの改竄や不正な金銭処理などの被害が発生します。

ユーザーが利用しているSNSにログインして投稿する際に、悪意あるスクリプトが実行されると、ユーザー自身が書いていない文章が投稿される、SNSのプライバシー設定が公開設定にされ、登録している個人情報が漏洩するなどの被害が発生します。

クロスサイトリクエストフォージェリの攻撃者は、権限を不正利用して重要な操作を実行します。被害はユーザー権限にとどまらず、管理者権限の乗っ取りの事例も発生しています。

管理者が使用する管理パネルにCSRFが埋め込まれた場合、攻撃者は管理者権限を不正利用できることになり、重要設定の変更、資産データの閲覧、顧客データの窃取、Webサイトの内容の改竄などの被害が発生します。

オンラインバンキングが広く受け入れられるようになり、銀行の窓口で手続きを行う人は減りました。しかしその利便性の裏で、クロスサイトリクエストフォージェリ攻撃の被害は多発しています。

ユーザーがオンラインバンキングにログイン中に、攻撃者が仕掛けた悪意のあるウェブページを開いてしまう場合があります。ログイン情報を悪用して、ユーザーの銀行口座から攻撃者の口座へ不正送金される、ユーザーの資産情報や連絡先など個人情報が流出するなどの被害が発生します。

クロスサイトリクエストフォージェリ攻撃により、攻撃者はアカウントにログインして、ログインIDやパスワードなどの個人情報や、企業の機密情報を変更したり窃取したりします。

企業の社員が社内システムにログイン中にCSRF攻撃を受け、社員の氏名、住所、家族構成などの個人情報や、社外秘の技術情報などの漏洩被害が発生します。競合他社の産業スパイに利用される可能性もあります。

クロスサイトリクエストフォージェリの攻撃者は、セッションハイジャック（セッションの乗っ取り）を行うことがあります。

ユーザーがネットショッピングしている間にCSRF攻撃を受け、セッションを乗っ取られて、ユーザーの名前で商品を購入する、アカウント情報を変更するなどの被害が発生します。

クロスサイトリクエストフォージェリ攻撃を受けると、ユーザーのアカウントが乗っ取られ、攻撃者がなりすまし行為を行う場合があります。

SNSにおけるなりすましにより、犯罪予告や誹謗中傷など悪意のある投稿が行われ、ユーザーの社会的信用や名誉を損なう可能性があります。パソコン遠隔操作事件の例のように、なりすまし行為を証明するのは難しく、被害者からの損害賠償など、法的な問題に発展する場合もあります。

Webアプリケーションにログインしている最中にクロスサイトリクエストフォージェリ攻撃を受け、攻撃者がユーザーのログイン情報（メールアドレスやパスワード）を不正に取得して、内容を変更する場合があります。

アカウントを乗っ取られてしまうと、ユーザーは自分のアカウントにアクセスできなくなります。個人情報の流出以外にも、インターネットバンキングやオンラインショッピングサイトであれば金銭的な損失、ブログやSNSであれば悪意のある投稿などで社会的信用の損失、詐欺行為に利用されれば法的責任の発生などの被害が発生します。

Webアプリケーションがクロスサイトリクエストフォージェリ攻撃を受けると、さまざまな不正なアクションを実行される可能性があります。

ブログやSNSではユーザー情報の変更やアカウントの削除、意図しないフォローや「いいね」の付与、悪意のあるリンクを含む投稿、決済サービスでは不正な送金や振込、投票やアンケートでは特定の選択肢への不正な票の集中など、被害が発生します。

クロスサイトリクエストフォージェリは、攻撃を受けてすぐに気付くのは難しいという特徴があります。

多くの場合、ショッピングサイトやオンラインバンキング、クレジットカードなどで金銭被害が発生したり、SNSなどで知らない間に投稿が行われていたりして、ようやく自覚することになります。そのためユーザーは、CSRF攻撃を避け、深刻な被害に発展させないために、対策を講じて自衛する必要があります。

クロスサイトリクエストフォージェリは、Webアプリケーションへのログイン状態を悪用する攻撃です。ログインが必要なオンラインサービスでは、利用後に必ずログアウトをしてセッションを破棄することを徹底しましょう。

ログアウトをしておけば、セッション情報を取得することができず、認証段階で手続きが拒否されるため、攻撃や被害を回避できる可能性が高くなります。

ブラウザーを閉じるだけではセッションが維持されることが多いため、正しくログアウトすることが必要です。ログインしたまま放置すると、CSRF攻撃を受けるリスクがあります。また、ログイン状態で別のサイトを見る、リンクをクリックするといった行為も危険です。

クロスサイトリクエストフォージェリだけでなく、ウイルスやフィッシングなど、さまざまなサイバー攻撃から身を守るためにも、セキュリティ対策ソフトを導入することは非常に重要です。

セキュリティ対策ソフトには、価格や機能などによって、さまざまな種類があります。怪しいリンクや悪意のあるページをチェックして警告する機能や、不正なサイトへのアクセスをブロックする機能がある製品もあり、CSRF対策にも有効です。外観だけで疑わしいWebサイトかどうかを判断するのは難しいため、信頼性の高いソフトを選びましょう。

また導入後は、セキュリティ対策ソフトだけでなくOSなども定期的なアップデートを行い、常に最新の状態に保つよう心掛けましょう。

クロスサイトリクエストフォージェリ攻撃を防ぐためには、セキュリティ対策ソフトだけでなく、脆弱性診断ツールも導入して、自分が利用するWebサイトやWebアプリケーションの脆弱性診断を定期的に実施することも重要です。

利用したことがないオンラインサービスや聞き覚えのないWebアプリケーション、リンクやボタンのクリックを執拗に促すWebサイトなども、利用前によく安全性を確かめる習慣を身につけることをおすすめします。

さまざまなサイバー攻撃の対策として基本中の基本は、不審なWebサイトにアクセスしないということです。

心当たりのないWebサイトへのアクセスはもちろん、よく分からないリンクやボタンをクリックすることや、知らない相手からのメールを開封することは極力避けましょう。悪意のあるリンクやスクリプトが仕掛けられている可能性も十分あります。信頼できるサイトだけを慎重に選ぶ姿勢が重要です。

ただし、サイバー攻撃は日進月歩です。不審なWebサイトを自分の知識と経験と勘だけで見つけるのは非常に困難です。近年は偽装サイトや偽装メールも巧妙になっており、大企業や公的機関の公式サイトに酷似しているものも多く存在するため、自己判断は危険です。

送信元のメールアドレスのドメインを確認する、リンクやボタンをクリックする前にマウスオーバーしてURLを確認する、メールスキャンや脆弱性診断を行うなどで、少しでも疑問がある場合はアクセスしないのが賢明です。

クロスサイトリクエストフォージェリ攻撃の被害拡大を防ぐためには、一刻も早い通報が鍵となります。

もし、記憶にない購入や送金、不正なアクセスや不審な操作、自分のあずかり知らない情報送信や投稿などの履歴を発見した時は、利用しているコンピュータやネットワークの管理者、Webサイト、Webアプリケーション、オンラインサービスの運営者など、問題に対処できる組織や人物に連絡が必要であることを、常に念頭に置いておきましょう。

WAF（Web Application Firewall）を導入することで、クロスサイトリクエストフォージェリなど、Webアプリケーションに対する攻撃をリアルタイムで検知して防御し、セキュリティを強化することができます。

ただし、WAFの導入と維持管理には、コストと専門的な知識が必要になります。エンドユーザーが導入する場合には、導入の可否、必要性と費用対効果などを考慮する必要があります。

クロスサイトリクエストフォージェリは、ユーザーの被害が明るみに出た後に、担当部署などへの報告で発覚することもあります。Webサイト、Webアプリケーション、オンラインサービスの開発者や運営者は、CSRF攻撃の予防、迅速な検出と防御、被害拡大の防止のために、対策を講じる必要があります。

Webアプリケーションにおいてリクエストの正当性を判断する際に、パスワードなどのユーザーの機密情報とセッションIDの両方を照合して、いずれも正しい場合に限りリクエストを許可するという仕組みを作ることで、クロスサイトリクエストフォージェリ攻撃を防御することができます。

サーバーには機密情報とセッションIDを分離して保存しておく必要があります。フォーム画面でユーザーに機密情報を入力させてhidden値に保持し、サーバー側の機密情報と照合し、同一性を確認します。攻撃者がセッションIDを不正に取得しても、機密情報がないため不正なリクエストとみなされ通過できません。

Webアプリケーションは、信頼できるドメインからのリクエストのみを受け入れるため、外部サイトから送られたリクエストを許可しないように設計する必要があります。

アクセス元を判別する方法のひとつに、SameSite属性を持つCookieがあります。SameSite属性のうちStrictモードでは、外部サイトからのリンクをクリックしてもCookieが送信されないため、ユーザーが意図しないリクエスト送信のリスクを減らし、CSRF攻撃を防ぐことができます。

クロスサイトリクエストフォージェリは、外部ドメインからのHTTPリクエストによって成立する攻撃です。HTTPのRefererヘッダーを取得して信頼できるアクセス元であるか判別し、リクエストの正当性を確認することでCSRF攻撃を防ぐ方法もあります。

ただし、攻撃者はRefererヘッダーを容易に偽装することができます。また、Refererはユーザーのブラウザー設定で非送信設定にすることができるため、そのようなユーザーは正規の手続きを行っても不正とみなされてサービスが利用できなくなる可能性があります。クロスサイトリクエストフォージェリ対策としてRefererヘッダーのみに依存するのは危険です。他の対策と併用しましょう。

クロスサイトリクエストフォージェリ攻撃対策として、ワンタイムトークンを発行してリクエストの正当性を確認する仕組みの導入をおすすめします。ワンタイムトークンは、金銭の授受が発生するネットバンキングやネットショッピングでよく利用されています。

サーバーはセッション毎に一意のトークンという秘密情報を生成して、ユーザーがリクエストしたフォームのhidden値に保持します。ユーザーがフォームを入力して送信する時に、このhidden値に含まれるトークンも送信され、サーバー側のトークンと照合して同一性を確認します。トークンの送受信は、Webアプリケーションが自動的に行うため、ユーザーの介入は通常必要なく、負担が増えないのが利点です。

トークンの生成には、攻撃者に予測されにくいランダムな文字列を生成できる関数などを使用します。さらに、ワンタイムトークンは一度使用されると無効になるもので、攻撃者が予測することも非常に困難であるため、セキュリティがとても高いCSRF対策となります。

Webアプリケーションで振込やパスワード変更など重要な処理を行う前には、ユーザーにパスワードの再入力を求めるなどの二段階認証の導入も、クロスサイトリクエストフォージェリ対策として有効です。

攻撃者がセッションIDを不正に取得しても、ユーザーしか知り得ないパスワードを併用することで、悪意のあるリクエストの実行を回避できます。また、入力操作により一息置くことで、ユーザーに意識的な操作を促す効果もあります。

クロスサイトリクエストフォージェリ（CSRF）は、Webアプリケーションの脆弱性を突き、ユーザーが意図しない操作を強制的に実行させる、危険なサイバー攻撃です。PCの遠隔操作、個人情報や機密情報の漏洩、不正送金、なりすまし犯罪や違法投稿など甚大な被害を引き起こす可能性があるにもかかわらず、攻撃されても直ちに気付きにくいため、被害の発覚が遅れやすいことも特徴です。

この記事では、具体的な被害事例を挙げながら、クロスサイトリクエストフォージェリ（CSRF）の仕組みやクロスサイトスクリプティング（XSS）との違い、攻撃を受けやすいWebサイトについて解説しました。

CSRF攻撃から身を守るために、ユーザーも開発者・運営者も、クロスサイトリクエストフォージェリに関する正しい知識を身につけ、行うべき対策をよく理解し、適切な方法で実施することが重要です。

個人的にも社会的にも、金銭的にも精神的にも、CSRF攻撃の被害に遭うことのないように、時には専門家の助けを借りて、安全なオンライン環境の実現に努め、Webアプリケーションの安全性と信頼性を高めることが求められています。

コンサルティングに関しては、専門性を持ったコンサルタントが、徹底して伴走支援するクオンツ・コンサルティングにご相談ください。

①大手コンサルティングファーム出身のトップコンサルタントが多数在籍
②独立系ファームならではのリーズナブルなサービス提供
③『事業会社』発だからできる当事者意識を土台にした、実益主義のコンサルティングサービス

クオンツ・コンサルティングは『設立から3年9ヶ月で上場を成し遂げた事業会社』発の総合コンサルティングファームです。
無料で相談可能ですので、まずはお気軽にご相談ください。