ITストラテジスト午前II 選択式平成29年 秋期
問 24 / 25平成29年 秋期 午前II 問24
Man-in-the-Browser 攻撃に該当するものはどれか。
【選択肢】
ア DNS サーバのキャッシュを不正に書き換えて，インターネットバンキングに見せかけた偽サイトを Web ブラウザに表示させる。
イ PC に侵入したマルウェアが，利用者のインターネットバンキングへのログインを検知して，Web ブラウザから送信される振込先などのデータを改ざんする。
ウ インターネットバンキングから送信されたように見せかけた電子メールに偽サイトの URL を記載しておき，その偽サイトに接続させて，Web ブラウザから口座番号やクレジットカード番号を入力させることで情報を盗み出す。
エ インターネットバンキングの正規サイトに見せかけた中継サイトに Web ブラウザを接続させ，入力された利用者 ID とパスワードを使って利用者になりすまし，正規サイトにログインする。
IPA公式正解：イ PC に侵入したマルウェアが，利用者のインターネットバンキングへのログインを検知して，Web ブラウザから送信される振込先などのデータを改ざんする。
【IPA公式解説】正解は選択肢【イ】です。
Man-in-the-Browser（MitB）攻撃は、クライアントPCに潜伏したトロイの木馬等のマルウェアが、ブラウザとWebサーバ間の通信を監視・介入し、ユーザーが正規にログインした後の通信（振込先口座番号や送金額など）をブラウザ内部で密かに改ざんして不正送金を実行する攻撃です。画面上は正常に処理されたように見せかけるためユーザーが気付きにくいのが特徴です。
・アは DNS キャッシュポイズニングです。
・イは MitB 攻撃の説明です。
・ウは フィッシング（Phishing）です。
・エは 中間者攻撃（MitM：Man-in-the-Middle）やリバースプロキシ型フィッシングです。
AIによる解説
■ 本問の核心・解法のポイント
Man-in-the-Browser (MitB) 攻撃：
「PC内のマルウェアがWebブラウザ内で動作し、正規ログイン後の通信・振込先データを書き換えて不正送金する」（選択肢イ★）。
本番形式・制限時間付きで演習する
平成29年 秋期 午前II（全25問・40分）を実戦演習モードで解き、合否判定を受けられます。