平成29年度 秋期 ITストラテジスト試験 午前Ⅱ 問24
テクノロジ／セキュリティMan-in-the-Browser攻撃に該当するものはどれか。
出典：平成29年度 秋期 ITストラテジスト試験 午前Ⅱ 問24
- アDNSサーバのキャッシュを不正に書き換えて，インターネットバンキングに見せかけた偽サイトをWebブラウザに表示させる。
- イPCに侵入したマルウェアが，利用者のインターネットバンキングへのログインを検知して，Webブラウザから送信される振込先などのデータを改ざんする。
- ウインターネットバンキングから送信されたように見せかけた電子メールに偽サイトのURLを記載しておき，その偽サイトに接続させて，Webブラウザから口座番号やクレジットカード番号を入力させることで情報を盗み出す。
- エインターネットバンキングの正規サイトに見せかけた中継サイトにWebブラウザを接続させ，入力された利用者IDとパスワードを使って利用者になりすまし，正規サイトにログインする。
正解：イ
解説
Man-in-the-Browser攻撃は，PCに侵入したマルウェアがWebブラウザの内部（プロセス）に寄生し，利用者が正規のインターネットバンキングサイトへログインして操作を行う際に，ブラウザとサーバの間でやり取りされる振込先口座番号や金額などのデータをリアルタイムに書き換える（改ざんする）攻撃です。利用者が正規のサイトに直接アクセスしているため，フィッシングのような偽サイトへの誘導とは異なり，利用者が気付きにくい点が特徴です。
選択肢ごとの解説
- ア誤り。DNSサーバのキャッシュを不正に書き換えて偽サイトを表示させる行為は，DNSキャッシュポイズニングの説明です。
- イ正しい。PCに侵入したマルウェアが，利用者のインターネットバンキングへのログインを検知して，Webブラウザから送信される振込先などのデータを改ざんする行為が，Man-in-the-Browser攻撃です。
- ウ誤り。偽サイトのURLを記載した電子メールで偽サイトに誘導し，口座番号やクレジットカード番号を入力させて盗み出す行為は，フィッシング攻撃の説明です。
- エ誤り。正規サイトに見せかけた中継サイトに接続させ，入力されたIDとパスワードを使って正規サイトになりすましてログインする行為は，中間者攻撃（Man-in-the-Middle攻撃）の説明です。