情報セキュリティマネジメント 2016年 春期 午前（科目A） 問22

クリックジャッキング攻撃【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワードを探す：「透明」「重ねる」「別サイト上で操作させる」「見せかけ」など、ユーザ操作をだます表現を探す。
2. クリックジャッキングの定義を思い出す：ユーザが意図しない別サイト上の操作を、視覚的に隠れている要素で誘導する攻撃。
3. 各選択肢と定義を照らし合わせる：透明な重ね合わせを使う説明があればそれが一致する。
4. 余談的表現（タブを書き換える、ブラウザ設定を変える、HTTPの分割など）は別の攻撃手法に該当することを確認する。

選択肢別の誤答解説

• ア: Webアプリケーションの脆弱性を悪用し、Webサーバに不正なリクエストを送ってレスポンス分割でブラウザのキャッシュを偽造する。
  • これは「HTTPレスポンス分割（HTTP response splitting）」や「キャッシュポイズニング（cache poisoning）」に近い説明です。クリックジャッキングの「画面を重ねてだます」という特徴とは異なります。
• イ: WebサイトAのコンテンツ上に透明化した標的サイトBのコンテンツを配置し、WebサイトA上の操作に見せかけて標的サイトB上で操作させる。
  • 透明な要素でユーザのクリックや操作を別サイトへ転送する、まさにクリックジャッキングです。したがって正解です。
• ウ: ブラウザのタブ表示機能を利用し、非アクティブなタブの中身を気付かれないうちに偽ログインページに書き換えて操作させる。
  • これは「タブナビング（tabnabbing）」または「タブ詐称」と呼ばれる手法です。クリックジャッキングとは手段が異なり、タブの内容を書き換えてフィッシングに誘導します。
• エ: ブラウザの設定を変更して閲覧履歴やパスワードを盗み出す。
  • これはブラウザ設定の改ざんを伴うマルウェアや不正拡張機能による情報窃取に該当します。クリックジャッキングはユーザの純粋なクリックを騙す手法で、設定変更によるデータ窃盗とは違います。

よくある誤解

1. クリックジャッキングとクロスサイトスクリプティング（XSS）を混同する
   • XSS（Cross-Site Scripting：他者のサイトに不正なスクリプトを埋め込む攻撃）は、ページ内でスクリプトを実行させ情報を抜く手法です。クリックジャッキングは「ユーザのクリックを別のサイトに転送する」手法で、目的や手口が異なります。
2. 「透明に重ねる」以外は全部クリックジャッキングだと思い込む
   • 画面の見た目をだます攻撃は似て見えますが、透明フレームを使って別サイト上で操作させる点がクリックジャッキングの本質です。タブを書き換える、設定を変えるなどは別分類です。

補足コラム

• サーバ側でX-Frame-Options ヘッダ（例：DENY, SAMEORIGIN）や CSP（Content Security Policy：コンテンツセキュリティポリシー）の frame-ancestors 指定を設定し、他サイトからフレームで埋め込まれるのを防ぐ。
  • X-Frame-Options は「このページをフレームに表示してよいか」を示すHTTP応答ヘッダです。
  • CSP の frame-ancestors はより柔軟に許可するオリジンを指定できます。
• 重要操作には確認ダイアログや二要素認証（2FA）を導入する。見た目だけで操作が完了しないようにするのが有効です。
• 社内で使う外部サービスや自社サイトを運用する場合は、セキュリティチェックリストに「フレーム埋め込みを許可していないか」を入れておくこと。ベンダーやWeb制作担当にX-Frame-Options/CSPの設定を依頼します。

• 総務やサービス窓口で使う管理画面は、開発担当にX-Frame-Optionsを設定してもらい、外部サイトから埋め込みができないようにします。利用者（社員）には「外部サイトで見た目が変だと感じたら操作を止める」ことを周知します。

FAQ