フォームジャッキング
フォームジャッキング とは何ですか?
フォームジャッキング悪意ある JavaScript が被害者のブラウザでフォーム送信を傍受し、入力データを攻撃者サーバーへ送信する攻撃。
フォームジャッキングは、ログインや決済、アカウント更新など任意の HTML フォームを対象に、ユーザーのブラウザ内で送信処理を乗っ取る攻撃です。攻撃者は脆弱な Web アプリケーション、管理者アカウント、サードパーティスクリプト(チャットウィジェット、解析、A/B テスト)などを侵害し、submit や keyup イベントにフックする JavaScript を仕込みます。捕捉した資格情報・カード番号・住所・個人情報はリモートエンドポイントへ送信され、正規リクエストは正常に完了するため、ユーザーは気づきません。Magecart や British Airways の事件が代表例です。対策には CSP、Subresource Integrity、クライアントサイドのランタイム監視(Akamai Page Integrity、Jscrambler)、PCI DSS v4.0 のクライアントスクリプト整合性要件などがあります。
● 例
- 01
ログインページに仕込まれたスクリプトが送信時にユーザー名とパスワードを取得。
- 02
攻撃者が Shopify の決済アプリを改ざんし、偽の解析ビーコンで住所とカード情報を持ち出す。
● よくある質問
フォームジャッキング とは何ですか?
悪意ある JavaScript が被害者のブラウザでフォーム送信を傍受し、入力データを攻撃者サーバーへ送信する攻撃。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。
フォームジャッキング とはどういう意味ですか?
悪意ある JavaScript が被害者のブラウザでフォーム送信を傍受し、入力データを攻撃者サーバーへ送信する攻撃。
フォームジャッキング からどのように防御しますか?
フォームジャッキング に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
フォームジャッキング の別名は何ですか?
一般的な別名: フォームスキミング, クライアント側フォーム窃取。