MITB攻撃とは？

MITB攻撃とは、被害者のブラウザ内に潜んだマルウェアが、利用者の入力内容や画面表示を書き換える攻撃。通信路はTLSで保護されていても、暗号化される前・復号された後のデータが操作されるため検知が難しい。

情報処理安全確保支援士試験の過去問では5回出題されています（2017年度〜2023年度）。

えむあいてぃーびーこうげき

情報処理安全確保支援士試験の頻出用語／午前II／別名：Man-in-the-Browser

MITB攻撃の意味

被害者のブラウザ内に潜んだマルウェアが、利用者の入力内容や画面表示を書き換える攻撃。通信路はTLSで保護されていても、暗号化される前・復号された後のデータが操作されるため検知が難しい。

MITB攻撃の具体例

ネットバンキングで、利用者が入力した振込先と金額を送信直前に書き換え、画面上は正しい内容を表示し続ける。

MITB攻撃は試験でどう引っ掛けられる？

TLSやOTPでは防げない。有効なのはトランザクション署名（取引内容そのものを別デバイスで表示・署名して突き合わせる）。

MITB攻撃と関連する用語

中間者攻撃

MITB攻撃が出た過去問

インターネットバンキングの利用時に被害をもたらすMITB（Man-in-the-Browser）攻撃に有効な対策はどれか。
正解：インターネットバンキングでの送金時にWebブラウザで利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
要点：MITB対策は取引内容自体を署名して突き合わせる
MITB攻撃はブラウザ内部でマルウェアが送信内容を書き換えるため、通信路の暗号化やログイン時の認証強化では防げません。利用者が入力した取引内容そのものに署名し、金融機関側で受信内容と突き合わせるトランザクション署名なら、改ざんを検知できます。
出典：平成29年度春期情報処理安全確保支援士試験 am2 問11（IPA）
インターネットバンキングの利用時に被害をもたらすMITB攻撃に有効な対策はどれか。
正解：インターネットバンキングでの送金時にWebブラウザで利用者が入力した情報と,金融機関が受信した情報とに差異がないことを検証できるよう,トランザクション署名を利用する。
要点：MITBには取引内容への署名と突合が有効
MITB攻撃ではブラウザ内部に潜んだマルウェアが送信直前に振込先や金額を書き換えるため、通信路の暗号化やログイン認証の強化では検知できません。取引内容そのものに署名し、金融機関が受信内容と突き合わせるトランザクション署名なら改ざんを見抜けます。
出典：平成30年度秋期情報処理安全確保支援士試験 am2 問9（IPA）
インターネットバンキングの利用時に被害をもたらすMITB（Man in the Browser）攻撃に有効な対策はどれか。
正解：インターネットバンキングでの送金時に利用者が入力した情報と、金融機関が受信した情報とに差異がないことを検証できるよう、トランザクション署名を利用する。
要点：MITB対策は取引内容そのものへの署名で改ざんを検出する
MITB攻撃は、利用者のブラウザに入り込んだマルウェアが、暗号化される前の入力内容や表示内容を書き換える。通信路の暗号化やサーバ証明書の確認、ログイン時の認証強化では、正規のセッション内で送金先や金額を差し替えられてしまう。そこで取引内容そのものを別経路の端末で確認し、その内容に対する署名（トランザクション署名）を返す方式なら、改ざんを検出できる。
出典：令和2年度 10月情報処理安全確保支援士試験 am2 問10（IPA）
インターネットバンキングの利用時に被害をもたらすMITB (Man-in-the-Browser) 攻撃に有効なインターネットバンクでの対策はどれか。
正解：インターネットバンキングでの送金時に利用者が入力した情報と、金融機関が受信した情報とに差異がないことを検証できるよう、トランザクション署名を利用する。
要点：MITB対策は取引内容自体を別経路で検証するトランザクション署名
MITB攻撃は、利用者のブラウザに寄生したマルウェアが、正規のログインとセッションの内部で送信内容を書き換える。通信路の暗号化やサイトの真正性確認、ログイン時の認証強化はいずれも改ざんが行われる前段の話なので防げない。そこで、利用者が入力した振込先や金額をブラウザ外の独立した機器で確認し、その値から生成した署名（トランザクション署名）を銀行側が検証する方式が有効となる。
出典：令和4年度春期情報処理安全確保支援士試験 am2 問11（IPA）
インターネットバンキングでのMITB攻撃による不正送金について、対策として用いられるトランザクション署名の説明はどれか。
正解：利用者が送金取引時に、"送金操作を行うPCとは別のデバイスに振込先口座番号などの取引情報を入力して表示された値"をインターネットバンキングに送信する。
要点：取引情報を別デバイスで署名して照合するのがトランザクション署名
MITB攻撃ではブラウザ内部で送信内容が書き換えられるため、ログイン時の認証を強化しても取引内容の改ざんは防げない。トランザクション署名は、振込先口座番号や金額といった取引情報を感染していない別のデバイスに入力させ、そこで生成された値を送信させる方式である。銀行側が受け取った取引情報から同じ値を計算して照合するので、改ざんがあれば一致せず検知できる。
出典：令和5年度秋期情報処理安全確保支援士試験 am2 問7（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。