【すぐわかる】クロスサイトリクエストフォージェリ（CSRF）とは？概要と対策を解説

クロスサイトリクエストフォージェリ（CSRF）は、インターネットの安全性にとって重要な問題の一つです。現代のデジタル社会において、ウェブサービスやオンラインプラットフォームは私たちの日常生活に欠かせないものとなりました。しかしその利便性の背後には、サイバー攻撃という常に変化し続ける脅威が潜んでいます。CSRFはその典型的な例であり、ユーザーが意図せずに重要な操作を実行してしまう可能性を秘めています。
この記事では、CSRFの基本的な概要と攻撃手法について解説します。

サービスのご紹介

アクトの脆弱性診断
国際資格(CEH、CISSP)を保有しているセキュリティエンジニアが対応します

アクトの「脆弱性診断サービス」は、経験豊富なセキュリティ専門技術者が、貴社のIT資産に潜む脆弱性を調査・検出、検査結果と今後の対応策をご報告させていただくサービスです。

クロスサイトリクエストフォージェリ（CSRF）は、WEBアプリケーションのセキュリティ脆弱性を悪用した攻撃手法の一つです。この攻撃は、ユーザーが攻撃者によって用意されたリンクをクリックするだけで、そのユーザーの名前でWebアプリケーションに対して意図しないアクション（例えば情報の登録、更新、削除など）を行わせるものです​​。

一般的なCSRF攻撃の手順は以下の通りです。

• 被害者は特定のWebサイトにログインし、セッション管理用のCookieをWebサーバから受け取っています。
• 攻撃者は、例えばパスワード変更リクエストを含むリンクを被害者に送信します。
• 被害者がそのリンクをクリックすると、攻撃者の意図したリクエストがWebサーバへ送信されます。
• Webサーバは、送信されたセッション管理用Cookieから、リクエストが被害者自身のものであると判断し、そのリクエストを実行します。

このようにして、被害者は自分の意図とは無関係に重要な操作を行うことになります​​。

CSRF攻撃の被害には、以下のようなものがあります。

• ユーザーのパスワードが勝手に変更され、アカウントが乗っ取られる。
• ユーザーのアカウントで無許可の投稿が行われる。例えば、掲示板に悪質なサイトへのリンクや犯罪予告が投稿されることもあります​​。

ユーザーとサービス提供者は、以下のような対策を取ることができます。

• ユーザーの対策：不審なリンクをクリックしない、サービス利用後はログアウトする、信頼性の低いウェブサイトへのアクセスを避ける、身に覚えのない操作履歴に注意する。
• サービス提供者の対策：正しい遷移元画面からの実行を検証する（CSRFトークンの利用）、重要処理前にパスワードの再入力を要求する、CookieにSameSite属性を設定する。

CSRF攻撃は、ユーザーのログイン状態を悪用しユーザーが意図しないアクションを実行させることによって、重大なセキュリティ上の問題を引き起こします。したがって、この種の攻撃に対する十分な対策を講じることは、Webサービスの安全性を保持する上で極めて重要です。
CSRF攻撃によって、ユーザーの個人情報が漏洩したり、重要な取引情報が改ざんされたりする可能性があります。これらのリスクを軽減するためには、ユーザー自身による警戒と、Webアプリケーションの開発者による技術的な対策の両方が必要です。

CSRFは、他のウェブセキュリティの脆弱性、特にクロスサイトスクリプティング（XSS）やクリックジャッキングとしばしば比較されます。これらの脆弱性はそれぞれ異なる特徴と対策が必要です。

XSSは、攻撃者が悪意のあるスクリプトをWebページに注入する攻撃です。これにより、訪問者のブラウザ上でそのスクリプトが実行され、悪意のある活動が行われる可能性があります。対して、CSRFはユーザーが既にアクセスしているウェブサイト上で、ユーザーの意図に反して操作を行わせるものです。

クリックジャッキングは、ユーザーが意図しないウェブページ要素をクリックさせられる攻撃です。たとえば、透明なフレームを重ねて、ユーザーが別の要素をクリックすると思い込ませる手法があります。CSRFとは異なり、クリックジャッキングはユーザーのクリック自体を悪用するものです。

クロスサイトリクエストフォージェリ（CSRF）は、Webアプリケーションのセキュリティ脆弱性を悪用し、ユーザーが意図せずに重要なアクションを実行するサイバー攻撃です。
この攻撃は、ユーザーが攻撃者の用意したリンクをクリックするだけで発生し、アカウントの乗っ取りや無許可の投稿など、重大な被害を引き起こす可能性があります。
攻撃者は、ユーザーがログインしている状態を狙って攻撃を行い、ユーザーは自分の意図しない文章を投稿させられるなどの被害に遭います。 対策としてユーザーは不審なリンクをクリックしない、サービス利用後はログアウトする、信頼性の低いウェブサイトへのアクセスを避けるなどの基本的なセキュリティ対策を講じる必要があります。
また、サービス提供者は適切なトークンの使用、重要な操作前のパスワード再入力の要求、Refererヘッダの確認など、技術的な対策を実施することが重要です。

アクトが提供するEDR+SOCサービス「セキュリモ」は、サイバー攻撃に対してAIでリアルタイム検知し、攻撃内容の可視化と分析内容を報告するPCやサーバーのセキュリティサービスです。弊社SOCチームが、グローバルトップクラスの検知率・防御力を持ったEDR（SentinelOne、Cybereason）のおまかせ運用を実現します。

アクトはSentinelOneとMSSP契約を持つ正式パートナーかつ、国内唯一のIRパートナーであり、 平常時からインシデント対応までお客さま負担をかけることなく、最高レベルのサイバーセキュリティをご提供します。

また、IT導入補助金対象サービスの『データお守り隊』もご提供しております。
EDR＋SOC＋簡易サイバー保険をお手頃価格でパッケージしたサービスです。補助金を申請することで低コストで高度なサイバーセキュリティ対策を実現できます。
ご興味がございましたら下記よりご確認ください。