平成28年度 春期 情報セキュリティマネジメント試験 午前 問22
テクノロジ／セキュリティクリックジャッキング攻撃に該当するものはどれか。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問22
- アWebアプリケーションの脆弱性を悪用し，Webサーバに不正なリクエストを送ってWebサーバからのレスポンスを二つに分割させることによって，利用者のWebブラウザのキャッシュを偽造する。
- イWebサイトAのコンテンツ上に透明化した標的サイトBのコンテンツを配置し，WebサイトA上の操作に見せかけて標的サイトB上で操作させる。
- ウWebブラウザのタブ表示機能を利用し，Webブラウザの非活性なタブの中身を，利用者が気付かないうちに偽ログインページに書き換えて，それを操作させる。
- エ利用者のWebブラウザの設定を変更することによって，利用者のWebページの閲覧履歴やパスワードなどの機密情報を盗み出す。
正解：イ
解説
クリックジャッキング攻撃は、正規サイト（サイトA）のコンテンツ上に透明化した標的サイト（サイトB）のコンテンツを重ねて配置し、利用者にサイトA上の操作だと誤認させて、実際にはサイトB上で意図しない操作をさせる攻撃です。
選択肢ごとの解説
- ア誤り。レスポンスを二つに分割させてキャッシュを偽造するのは、HTTPレスポンス分割攻撃の説明です。
- イ正しい。透明化した標的サイトのコンテンツを別サイト上に重ねて、利用者に誤操作させるのはクリックジャッキング攻撃です。
- ウ誤り。非活性なタブの中身を偽ページに書き換えるのは、タブナビング攻撃の説明です。
- エ誤り。ブラウザの設定を変更して閲覧履歴やパスワードを盗み出すのは、マルウェアなどによる情報窃取の説明です。