情報セキュリティマネジメント 平成28年度 春期 午前 問22

✓ これが正解イ WebサイトAのコンテンツ上に透明化した標的サイトBのコンテンツを配置し，WebサイトA上の操作に見せかけて標的サイトB上で操作させる。

解説

見えない標的サイトを重ね、操作をだまし取る攻撃です。

クリックジャッキングは、利用者に見えている画面と、実際に操作が届く先とを食い違わせる攻撃です。攻撃者は自分が用意したWebサイトのコンテンツの上に、標的となるサイトのコンテンツを透明にして重ねて置きます。利用者は目の前のボタンを押したつもりでも、その操作は透明に重ねられた標的サイトの側へ届き、そちらで意図しない操作が実行されてしまいます。利用者自身が自分の意思でクリックしているのに、その結果が別のサイトに向かうところが、この手口のやっかいなところです。

見えているものと操作の届く先がずれていることが、見分けるうえでの決め手になります。

ほかの選択肢の解説

• ア Webアプリケーションの脆弱性を悪用し，Webサーバに不正なリクエストを送ってWebサーバからのレスポンスを二つに分割させることによって，利用者のWebブラウザのキャッシュを偽造する。：Webサーバに不正なリクエストを送ってレスポンスを二つに分割させ、利用者のWebブラウザのキャッシュを偽の内容に置き換える攻撃です。細工されているのはサーバの応答の作り方であり、画面を重ねて操作させるものではありません。
• ウ Webブラウザのタブ表示機能を利用し，Webブラウザの非活性なタブの中身を，利用者が気付かないうちに偽ログインページに書き換えて，それを操作させる。：Webブラウザで開いたまま見ていないタブの中身を、利用者が気付かないうちに偽のログインページへ書き換えて、それを操作させる手口です。差し替えられるのはタブの中身であって、透明にしたコンテンツを別のサイトの上に重ねているわけではありません。
• エ 利用者のWebブラウザの設定を変更することによって，利用者のWebページの閲覧履歴やパスワードなどの機密情報を盗み出す。：Webブラウザの設定そのものを変えてしまい、閲覧履歴やパスワードといった機密情報を持ち出す手口です。ねらいは情報を盗み出すことであり、利用者の操作を別のサイトへ振り向けるものではありません。