ホワイトハッカーを夢みて、セキュリティアカデミーでお勉強中のミーアキャット。心配性でやさしい性格で、「みんな無事ミア？」「危険はないミア？」が口癖。ちょっとしたことですぐに「キャッ！」と動揺しがち。
2022年度入社。業務ではWebアプリの脆弱性診断やAttack Surface調査などを中心に実施。好きなものは漫画と数学。
芝さんこんにちは！今日のテーマは「Webスキミング攻撃」だそうですが、スキミングってATMやカードリーダーにこっそり機器を仕込んで情報を盗み取るあの手口？それってWebでは無理な気がするミア……。
芝さん
Webスキミングは、そういった物理的なスキミングとは違って、リモートで攻撃を仕掛けて情報を盗み取ってしまう手口なんです。
キャッ！そんなことができてしまうとは……それは対策しないといけないミア！
芝さん
実は多くの企業がこの攻撃の被害に遭っており、顧客情報が漏えいするケースが後を絶ちません。また、サイト利用者側も、クレジットカードの不正利用や個人情報の漏えいリスクが高まるため、注意が必要です。そこで今回は、Webスキミング攻撃の基本的な仕組みを理解し、その脅威から情報を守るために必要な対策について詳しく解説します。
芝さん
Webスキミング攻撃は、Webサイトに不正なコードを挿入し、サイト利用者が決済やユーザー情報変更などを実行した際に送信されるクレジットカード情報や個人情報を盗む手法です。攻撃者は通常、悪意のあるJavaScriptを用いてデータを収集し、攻撃者が所有するサーバーに送信することで情報を盗みます。この攻撃は、ECサイトをターゲットにすることが多く、サイト利用者の知らないうちに情報が盗まれます。
偽サイトなどではなく、本物のECサイトでお買い物していても情報が盗まれてしまうことがあるなんて……。家族がオンラインショッピングに夢中だから、余計に心配ミア。
芝さん
そうなんです。それに、先ほどの、ATMやカードリーダーに不正なデバイスを取り付ける物理的なスキミングと違って、Webスキミングはインターネット上で行われ、物理的なアクセスを必要としません。攻撃者はWebサイトの脆弱性を悪用し、リモートで攻撃を仕掛けるため、より広範囲に被害を及ぼす可能性があります。
なんと、さらに怖い……！具体的な手口にはどういうものがあるミア？
芝さん
Webスキミング攻撃の手口は多岐にわたりますが、代表的なものを紹介しましょう。
やっぱり、クレジットカードの情報を盗まれてカードを不正利用される被害が多いミア？
芝さん
それが一般的ですね。加えて、顧客の個人情報が漏えいすることで、フィッシング攻撃などのリスクも高まります。またこうした被害が出ることで、企業が信用を失い、法的責任を負う可能性やサイト閉鎖へ追い込まれるといった被害の危険性もあります。
そんなことになったらとっても大変ミア……！何かよい対策はないのですか!?
芝さん
もちろんあります！では、一つずつ紹介していきましょう。
ほうほう、つまりWebサイト側の脆弱性をつぶしておいたり、不正なスクリプトやコードが実行されないようにあらかじめ手を施しておいたりするミア。
芝さん
なるほど、外部から読み込むスクリプトやファイルを検証する方法もあるミア。
芝さん
おなじみの対策ともいえるけど、パスワードの強度やアクセス制限もやはり重要ミア。
芝さん
最新情報と最新のバージョン、これも当たり前のようだけれど大事ミア！
芝さん
Webスキミング攻撃は、サイト利用者と企業双方に大きなリスクをもたらす深刻な問題です。しかし、適切な対策を講じることで、そのリスクを大幅に低減することができます。
企業は定期的な脆弱性診断やサードパーティースクリプトの監視、セキュリティパッチの適用などを通じて、自社のセキュリティを強化することが重要です。サイト利用者もまた、安全なWebサイトでの取引を心掛け、自身の情報を守る意識を持つことが求められます。
企業としての対策の重要性はもちろん、いちユーザーとしても「企業がしっかり対策していれば大丈夫」と油断せず気を付けるミア！今日はいろいろ教えてくれてありがとミア！
芝さん
ユービーセキュアでは、Webサイトに内在する脆弱性を洗い出せるWebアプリケーション診断を提供しています。ECサイトはもちろんのこと、サイト特性に合わせた診断プランをご提案できますから、気軽にお問い合わせくださいね。