フォームジャッキング.

悪意ある JavaScript が被害者のブラウザでフォーム送信を傍受し、入力データを攻撃者サーバーへ送信する攻撃。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

悪意ある JavaScript が被害者のブラウザでフォーム送信を傍受し、入力データを攻撃者サーバーへ送信する攻撃。

フォームジャッキングは、ログインや決済、アカウント更新など任意の HTML フォームを対象に、ユーザーのブラウザ内で送信処理を乗っ取る攻撃です。攻撃者は脆弱な Web アプリケーション、管理者アカウント、サードパーティスクリプト(チャットウィジェット、解析、A/B テスト)などを侵害し、submit や keyup イベントにフックする JavaScript を仕込みます。捕捉した資格情報・カード番号・住所・個人情報はリモートエンドポイントへ送信され、正規リクエストは正常に完了するため、ユーザーは気づきません。Magecart や British Airways の事件が代表例です。対策には CSP、Subresource Integrity、クライアントサイドのランタイム監視(Akamai Page Integrity、Jscrambler)、PCI DSS v4.0 のクライアントスクリプト整合性要件などがあります。

フォームジャッキング に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: フォームスキミング, クライアント側フォーム窃取。