【SC試験】Webスキミング攻撃（Magecart型フォームジャッキング） — 午前I・午前II・午後 問題セット

正解： イ

解説：

• ア）不正解。外部サーバから動的に配信されるJavaScriptは、サーバ側の設定やコード変更、あるいは不正アクセスによって配信内容がいつでも変わり得る。
• イ）正解。外部から読み込まれたJavaScriptは、通常、埋め込み先ページと同一オリジンのスクリプトと同様にそのページのDOM全体にアクセスできる。したがって配信元が侵害されたり、依存するサプライチェーン（サブリソースやCDN、広告タグ等）に悪意あるコードが紛れ込んだりすると、フォーム入力の盗聴や改ざんが可能になる。
• ウ）不正解。HTTPSは通信経路の暗号化・改ざん検知を提供するが、これは「配信元から利用者のブラウザまでの経路」を保護するものであり、配信元サーバ自体が侵害されて悪意あるコードを配信するようになった場合には無力である。
• エ）不正解。埋め込んだJavaScriptはページを閲覧する利用者のブラウザ上で実行されるため、ライブラリ提供元の脆弱性・侵害はそのまま埋め込み先サイトの利用者への実害（情報窃取等）に直結する。

正解： イ

解説：

• ア）不正解。Webスキミングはデータベースへの直接攻撃ではなく、利用者のブラウザ上でリアルタイムに入力値を盗聴・送信させる手口を指す。DBに蓄積されたデータの一括窃取とは異なる。
• イ）正解。「Magecart」は当初ECプラットフォームMagentoを標的にした攻撃グループ・手法群の名称から広く一般化した用語で、ECサイト自体やサードパーティスクリプト（サプライチェーン）を侵害し、決済フォームへのキー入力やコピー内容を監視・送信する悪意あるJavaScript（フォームジャッキング）を注入する攻撃を指す。利用者が「送信」ボタンを押す前にリアルタイムでデータが窃取される点が特徴である。
• ウ）不正解。物理的なカードスキマーとは異なる、Web（ブラウザ上のJavaScript実行）を舞台にした攻撃であることが「Webスキミング」という名称の由来である。
• エ）不正解。HTTPSは通信経路の暗号化を提供するのみで、フォーム入力がJavaScriptによってブラウザ上で盗聴されアップロードされる場合は経路暗号化とは無関係に情報が窃取されてしまう。

正解例：

• 攻撃名：Webスキミング（Magecart型フォームジャッキング）
• 理由：悪意あるコードは利用者のブラウザ上で実行され、入力値をその場で外部に送信するため、M社サーバを経由・侵害する必要がないため（49字）。

解説： Webスキミングの本質的な特徴は、攻撃対象がM社のサーバやデータベースではなく「利用者のブラウザ上で実行されるJavaScriptの実行コンテキスト」である点にある。決済フォームの値はブラウザのメモリ上・DOM上で盗聴され、正規の決済処理とは別経路（攻撃者サーバへの非同期通信）でリアルタイムに窃取されるため、M社のサーバサイドのログやデータベースには一切の異常が残らない。

解説・採点基準（計15点）：

正解例：

• 対策1（サブリソース完全性検証、SRI）：<script> タグに integrity 属性で正規のスクリプトのハッシュ値を指定しておくことで、ベンダー側で配信内容が改ざんされハッシュ値が一致しなくなった場合、ブラウザがそのスクリプトの実行を拒否し、悪意あるコードが動作しないようにする。
• 対策2（Content-Security-Policy、CSP）：connect-src ディレクティブで、決済フォームを含むページからの外部通信先を許可リスト方式で厳格に制限しておくことで、たとえ悪意あるコードが実行されても、許可されていない攻撃者サーバへのデータ送信（fetch/XMLHttpRequest）がブラウザによってブロックされ、情報窃取を防止・検知（違反レポートによる検知）できる。

解説： SRIは「改ざんされたスクリプトを実行させない」という予防的対策、CSPの connect-src 制限は「万一悪意あるコードが実行されても外部への情報送信を阻止する」という多層防御・被害極小化の対策であり、両者は補完関係にある。加えて実務では、決済フォームを別オリジンのiframe（決済代行事業者提供のホスト型フィールド等）に分離し、サードパーティスクリプトが直接フォームのDOMにアクセスできないようにする設計も有効な恒久対策として知られる。

解説・採点基準（計15点）：