応用情報技術者試験 応用情報技術者試験 平成28年度春期 午前 問45: Man-in-the-Browser 攻撃に該当するものはどれか。

正解

イ. PC に侵入したマルウェアが，利用者のインターネットバンキングへのログインを検知して，Web ブラウザから送信される振込先などのデータを改ざんする。

正答率 77.5%（333人中 258人が正解）

問題の解説

Man-in-the-Browser(MITB)攻撃の定義を問う問題。MITB は PC のブラウザ内部に潜んだマルウェアが、利用者と正規サイトの間で送信データそのものを横取り・改ざんする攻撃で、利用者が正しいサイトに正しくログインしていても振込先などを密かに書き換えられる。ブラウザの内側で送信データを改ざんするイが該当する。

選択肢ごとの解説

• アDNSキャッシュを書き換えて偽サイトへ誘導するのはDNSキャッシュポイズニング(ファーミング)であり、MITBではない。
• イPC内のマルウェアがブラウザから送信される振込先データを改ざんするのはまさにMan-in-the-Browser攻撃であり正しい。
• ウ偽メールのURLから偽サイトへ誘導し情報を入力させるのはフィッシング攻撃の説明である。
• エ正規サイトを装った中継サイトでID・パスワードを転送しなりすますのは中間者(MITM)攻撃の説明であり、ブラウザ内部で改ざんするMITBとは異なる。