平成28年度 春期 応用情報技術者試験 午前 問45
テクノロジ／セキュリティMan-in-the-Browser攻撃に該当するものはどれか。
出典：平成28年度 春期 応用情報技術者試験 午前 問45
- アDNSサーバのキャッシュを不正に書き換えて，インターネットバンキングに見せかけた偽サイトをWebブラウザに表示させる。
- イPCに侵入したマルウェアが，利用者のインターネットバンキングへのログインを検知して，Webブラウザから送信される振込先などのデータを改ざんする。
- ウインターネットバンキングから送信されたように見せかけた電子メールに偽サイトのURLを記載しておき，その偽サイトに接続させて，Webブラウザから口座番号やクレジットカード番号を入力させることで情報を盗み出す。
- エインターネットバンキングの正規サイトに見せかけた中継サイトに接続させ，Webブラウザから入力された利用者IDとパスワードを正規サイトに転送し，利用者になりすましてログインする。
正解：イ
解説
Man-in-the-Browser攻撃は，PCに感染したマルウェアがWebブラウザの内部に入り込み，利用者が正規サイトへログインした後の通信内容（振込先など）をブラウザ内でリアルタイムに改ざんする攻撃です。正規の通信経路や証明書は正しいままなので，利用者は改ざんに気付きにくいのが特徴です。
選択肢ごとの解説
- ア誤り。DNSキャッシュを書き換えて偽サイトへ誘導する手口はDNSキャッシュポイズニングの説明です。
- イ正しい。PCに侵入したマルウェアがブラウザ内で振込先などのデータを改ざんするのがMan-in-the-Browser攻撃です。
- ウ誤り。偽サイトのURLを記載した電子メールで誘導し情報を盗む手口はフィッシング攻撃の説明です。
- エ誤り。正規サイトに見せかけた中継サイトで認証情報を中継する手口はMan-in-the-Middle攻撃（中間者攻撃）の説明です。