クロスサイトリクエストフォージェリ（CSRF）とは？仕組みと対策をわかりやすく解説【IPA試験対策】

対象試験と出題頻度

用語の定義

クロスサイトリクエストフォージェリ（CSRF）とは、一言で言うと「ログイン中のユーザーに、本人が意図しない操作を強制的に実行させる攻撃」のことです。

イメージとしては、「銀行のATMにログインしたまま離席している間に、後ろから誰かがあなたの手を掴んで勝手に送金ボタンを押す」ようなものです。
攻撃者が用意した罠サイトを閲覧するだけで、別のサイトにログイン中のユーザーのセッション（認証状態）を悪用し、不正な操作が実行されてしまいます。

解説

クロスサイトリクエストフォージェリ（Cross-Site Request Forgery、略称CSRF/XSRF）は、「リクエスト偽造」を意味するWebアプリケーションの脆弱性を悪用した攻撃です。ユーザーが正規のWebサイト（SNS、銀行、ECサイトなど）にログインした状態で、攻撃者が仕込んだ罠ページにアクセスすると、ユーザーの意図しないリクエストが正規サイトに送信されてしまいます。

• 攻撃の仕組み：ユーザーがサイトAにログイン中に、攻撃者が用意した罠サイトBを閲覧すると、罠サイトBからサイトAへ不正なリクエストが自動送信されます。サイトAはログイン中のユーザーからの正規リクエストと区別できず、処理を実行してしまいます。
• XSSとの違い：XSS（クロスサイトスクリプティング）はユーザーのブラウザ上で悪意のあるスクリプトを実行させる攻撃ですが、CSRFはユーザーの認証状態を悪用して不正なリクエストを送信させる攻撃です。攻撃対象がブラウザか、Webサーバーかという点で異なります。

CSRF攻撃による被害は深刻で、SNSでの意図しない投稿や友達追加、ECサイトでの不正な購入、オンラインバンキングでの不正送金、パスワードやメールアドレスの変更など、ログイン中のユーザーができるあらゆる操作が悪用される可能性があります。過去には大手SNSやWebサービスでも被害事例が報告されています。

具体的な活用例・対策

CSRF対策は、Webアプリケーション開発においてセッション管理と並ぶ重要なセキュリティ対策です。

• CSRFトークン（ワンタイムトークン）： フォーム送信時に、サーバーが発行した予測困難なトークンを埋め込み、リクエスト受信時に検証します。正規のページからのリクエストのみ受け付ける最も効果的な対策です。
• SameSite Cookie属性： Cookieに「SameSite=Strict」または「SameSite=Lax」を設定し、異なるサイトからのリクエストにCookieを送信しないようにします。
• Refererヘッダーの検証： リクエストの送信元（Referer）をチェックし、正規サイトからのリクエストのみを受け付けます。ただし、Refererが送信されない環境もあるため、補助的な対策として使用します。
• 重要な操作での再認証： パスワード変更や送金など重要な操作を行う前に、再度パスワード入力を求めることで、不正リクエストを防ぎます。
• CAPTCHAの導入： 人間による操作であることを確認するCAPTCHAを導入し、自動的なリクエスト送信を防止します。

試験ではこう出る！

情報セキュリティマネジメント、基本情報技術者、応用情報技術者で頻出です。以下のキーワードとセットで覚えましょう。

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。