Webアプリケーションの脆弱性を悪用したサイバー攻撃「CSRF（クロスサイトリクエストフォージェリ）」は、巧妙な手口でユーザーの情報を抜き取り、不正送金やアカウントの乗っ取りなどの被害をもたらします。企業はこうしたサイバー攻撃に対して常に警戒し、有効な対策を講じなければなりません。本記事ではCSRFの概要や企業が受ける被害、対策方法などについて詳しく解説します。
CSRF（クロスサイトリクエストフォージェリ）とは
CSRFは、Webアプリケーションの脆弱性を悪用したサイバー攻撃の一種で、セッション管理機能のセキュリティ上の欠陥を狙うのが特徴です。
セッション管理機能は、ユーザーがWebアプリケーションにログインしてからログアウトするまでの操作をすべて管理します。セッション管理によって、ユーザーがログアウトするまでログイン情報を維持することが可能です。
CSRFは、用意しておいた不正なWebページなどを通じて、ユーザーのセッション情報を盗みます。攻撃者はユーザーになりすまして不正なリクエストを送り、Webアプリケーション上で不正な操作を行います。
CSRFの仕組み
まず、攻撃者はユーザーが普段利用しているWebアプリケーションに酷似した偽のWebアプリケーションを用意し、メールやチャットを通じてや悪意のあるリンクを開かせます。その際に、正規のWebアプリケーションにログインしたままの状態だと、パスワードの変更や購入処理などの不正リクエストが自動で処理されます。
CSRFの攻撃種類には、大きく「GETリクエスト」と「POSTリクエスト」の2つがあります。GETリクエストの場合には、ECサイトで身に覚えのない決済がされる、POSTリクエストの場合には、SNSや掲示板などに悪意ある投稿をされるといった被害が生じます。
CSRF攻撃を受けやすい条件
CSRF攻撃の標的になりやすいWebアプリケーションの特徴として、セッション管理や認証が不十分であることが挙げられます。具体的には、Cookieによるセッション管理やBasic認証、SSLクライアント認証を使用している場合です。
たとえば、Cookieを使用すると、次の訪問時にサーバーが「すでに認証済み」と判断するため、CSRF攻撃を受けやすいです。
また、Basic認証はユーザー名とパスワードによる簡易的な認証方式ですが、一度認証してしまえばログイン状態が継続し、CSRF攻撃で情報を盗まれるリスクがあります。
SSLクライアント認証は、Webアプリケーションのアクセスの際に、「SSLクライアント証明書」を持ったユーザーのみをアクセスさせる方法です。セキュリティレベルの高い認証方式とされていますが、万が一SSLクライアント証明書を盗まれてしまった場合、CSRF攻撃をされる可能性があります。
CSRF攻撃による被害例
CSRF攻撃は企業に大きな被害をもたらします。代表的な被害として、以下の3つが挙げられます。
・不正送金
インターネットバンキングや通販サイトがCSRF攻撃を受けると、深刻な被害が出ます。攻撃者はログイン状態のユーザーが利用できるサービスを悪用し、本人になりすまして別の口座に送金したり、クレジットカードで高額な商品を購入したりできます。
攻撃者が送金金額や送金先を指定できるため、被害額が大きくなりやすいのが特徴です。特にまとまった資金を保有している企業の場合、巨額の不正送金被害にあうリスクがあります。
・アカウントの乗っ取り
攻撃者はCSRF攻撃によってユーザーのアカウントを乗っ取れるため、SNSや掲示板に悪意のある書き込みをしたり、ユーザーの周りに虚偽のメッセージを送ったりできます。そのため、ユーザーの信用や評判に悪影響を与える可能性があります。
企業の場合、公式のSNSアカウントが乗っ取られてしまうと、攻撃者によって不適切な内容や改ざんされたデータ、画像を投稿されるおそれがあります。このような投稿は企業イメージが悪化するだけでなく、企業の社会的信用を失うことにもつながりかねません。
・機密情報の漏えい
CSRF攻撃によって、攻撃者はユーザーのアカウントにログインできるため、ユーザーの氏名や住所、電話番号などの個人情報を盗み出すことが可能です。
企業の場合、管理者権限を持つアカウントが乗っ取られてしまうと、顧客データベースや機密情報が外部に漏えいする可能性があります。このような情報漏えいは、企業の社会的信頼性を著しい低下させ、さらに顧客や取引先から損害賠償を請求される場合もあります。
企業ができるCSRFの対策
従業員レベルで実行可能な対策としては、サービス利用後のこまめなログアウト、不審なリンクやWebサイトへのアクセス禁止、最新ブラウザーへのアップデート、定期的なパスワード変更といったものが挙げられます。
しかし、これらはあくまで基本的な対策に過ぎません。CSRF攻撃を確実に防ぐには、より高度なセキュリティ対策が必要です。
たとえば、トークンを利用してリクエスト照合の強化を図る方法があります。トークンとは、1回しか使えない作る仕組みです。これを使うことで、不正なリクエストを防ぐことができます。
また、CSRFをはじめとするサイバー攻撃を防ぐ、セキュリティ対策システムの導入も有効です。特にWAF（ウェブアプリケーションファイアウォール）は、 Webサイトを含むWebアプリケーションの脆弱性を狙う攻撃を検知し、防御します。
まとめ
CSRFは偽のサイトに誘導してセッション情報を悪用するサイバー攻撃です。アカウントの乗っ取りや情報漏えいなどさまざまなリスクがあるため、企業は強固なセキュリティ対策が欠かせません。自社の対策に不安がある場合には、トークンの利用やWAFなどのセキュリティシステムの導入を検討してみましょう。
クラウド型WAFサービス「Cloudbric WAF+」は、Webトラフィック特性学習AIエンジンと論理演算検知エンジンを搭載したハイレベルなWeb攻撃遮断サービスです。社内にセキュリティ専門家がいなくても簡単に運用・導入できるため、今すぐCSRF対策したい企業におすすめです。
（参照：「Cloudbric WAF+」）
▼WAFをはじめとする多彩な機能がひとつに。企業向けWebセキュリティ対策なら「Cloudbirc WAF+」
▼製品・サービスに関するお問い合わせはこちら