応用情報技術者試験 応用情報技術者試験 平成28年度春期 午前 問45: Man-in-the-Browser 攻撃に該当するものはどれか。

正解

イ. PC に侵入したマルウェアが，利用者のインターネットバンキングへのログインを検知して，Web ブラウザから送信される振込先などのデータを改ざんする。

正答率 77.5%（333人中 258人が正解）

問題の解説

Man-in-the-Browser（MITB）攻撃は、利用者の PC に侵入したマルウェアが Web ブラウザの動作に介入し、ブラウザから送信される内容（振込先や金額など）を改ざんする攻撃である。正規のサイトとの通信自体は暗号化されたままなので、利用者は気付きにくい。

選択肢ごとの解説

• アDNS キャッシュポイズニングによって偽サイトへ誘導する、ファーミングの説明である。
• イ正しい。PC 上のマルウェアがログインを検知して、ブラウザから送信される振込先などのデータを改ざんするのが MITB 攻撃である。
• ウ偽サイトの URL を載せた電子メールで誘導して情報を盗む、フィッシングの説明である。
• エ正規サイトを装った中継サイトが通信を中継して認証情報を盗む、中間者攻撃の手口である。MITB 攻撃のようにブラウザ内で改ざんするものではない。