令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
テクノロジ／セキュリティインターネットバンキングの利用時に被害をもたらす MITB（Man-in-the-Browser）攻撃に有効なインターネットバンクでの対策はどれか。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
- アインターネットバンキングでの送金時に接続する Web サイトの正当性を利用者が確認できるよう，EV SSL サーバ証明書を採用する。
- イインターネットバンキングでの送金時に利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- ウインターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを導入する。
- エインターネットバンキング利用時の通信を SSL ではなく TLS を利用して暗号化するように Web サイトを設定する。
正解：イ
解説
MITB（Man-in-the-Browser）攻撃は，利用者の PC 内のブラウザに感染したマルウェアが，正規の Web サイトとの通信内容を裏で改ざんする攻撃です。正規サイトとの通信自体は暗号化されていても，ブラウザ内部で送金先や金額が書き換えられてしまうため，通信の暗号化や証明書の確認だけでは防げません。対策としては，利用者が入力した情報と金融機関が実際に受信した情報との間に差異がないかを，通信経路とは独立した方法（例えばトランザクション署名，取引内容を別経路の端末で確認して署名する方式）で検証することが有効です。
選択肢ごとの解説
- ア誤り。EV SSL サーバ証明書は接続先サイトの正当性を確認する対策であり，ブラウザ内部で通信内容が改ざんされる MITB 攻撃には効果がありません。
- イ正しい。利用者が入力した情報と金融機関が受信した情報との差異を検証できるトランザクション署名の利用は，ブラウザ内部での改ざんを検知できるため MITB 攻撃に有効です。
- ウ誤り。ワンタイムパスワードはログイン認証時の本人確認を強化する対策であり，ログイン後にブラウザ内で送金内容が改ざんされる MITB 攻撃自体を防ぐものではありません。
- エ誤り。SSL を TLS に置き換えても，通信経路の暗号化方式が変わるだけで，ブラウザ内部での通信内容の改ざんを防ぐことにはなりません。