問60
頻出度★★★
オンラインバンキングにおいて, マルウェアなどでブラウザを乗っ取り, 正式な取引画面の間に不正な画面を介在させ, 振込先の情報を不正に書き換えて, 攻撃者の指定した口座に送金させるなどの不正操作を行うことを何と呼ぶか。
平成30年度 秋期 ITパスポート試験 問60
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 60
- ア
正解 正确答案是「ア」的 MITB（Man In The Browser）攻击。MITB 攻击是指感染用户 PC 的恶意软件劫持浏览器本身，在正规交易画面与用户之间插入非法处理的手段。正如题目所述，尽管用户是在正确的银行网站上用正确的 ID、密码登录，浏览器内部却会悄悄篡改转账收款方的账号、金额等信息，使资金被转入攻击者指定的账户。由于篡改不是在通信线路上、而是在浏览器内部进行，因此即使采用 SSL/TLS 加密通信也无法防范，而且画面显示上看起来仍是正常交易，这一特点与题目的说明完全一致。
错误イ
SQL 注入是指向 Web 应用的输入框等注入非法的 SQL 语句，从而非法操作、访问背后数据库的攻击。其攻击目标是服务器端的数据库，与劫持用户浏览器、篡改转账画面的手段不同，因此错误。
错误ウ
社会工程学是通过冒充身份的电话、从旁窥视（肩窥）、翻找垃圾桶等，利用人的心理和行为漏洞来窃取信息的手段的总称。它并不是用恶意软件劫持浏览器这类技术性的篡改手法，因此错误。
错误エ
暴力破解攻击（穷举攻击）是指对密码或密钥，将所有可能的组合逐一尝试，试图突破认证的手段。它并不是劫持浏览器、篡改交易信息的手法，因此错误。
ここがポイント
- MITB 攻击是指恶意软件劫持浏览器，在正规交易画面内部篡改转账收款方等信息的手段。要点在于：即使对通信进行了加密也无法防范，且在用户看来仍是正常交易。
- 要把握位置上的区别：类似的中间人攻击（MITM）介入的是通信线路的中途，而 MITB 介入的是用户浏览器的内部。
用語