基本情報技術者試験 - 令和7年7月修了 - 問32

インターネットバンキングの利用時に被害をもたらすMITB（Man-in-the-Browser）攻撃に有効なインターネットバンクでの対策はどれか。

ア	インターネットバンキングでの送金時に接続するWebサイトの正当性を利用者が確認できるよう，EVSSLサーバ証明書を採用する。
イ	インターネットバンキングでの送金時に利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
ウ	インターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを導入する。
エ	インターネットバンキング利用時の通信をSSLではなくTLSを利用して暗号化するようにWebサイトを設定する。

◀ 問31　|　▲ 令和7年7月修了問題一覧　|　問33 ▶

答え：イ
分野：テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ対策
解説：
インターネットバンキングを狙った「MITB」（Man-in-the-Browser）攻撃に対する有効な対策を問うものです。MITB攻撃は，利用者のパソコンに感染したマルウェアがWebブラウザの通信内容を書き換えることで，利用者が入力した振込先や金額などの情報を，利用者に気づかれないまま改ざんしてしまう攻撃です。

このような攻撃に対しては，利用者が入力した情報と，実際に金融機関側が受信した情報とに差異がないかを検証できるトランザクション署名の仕組みが有効です。この説明に合致するのは選択肢「イ」です。

誤りの選択肢のうち，「EVSSLサーバ証明書を採用する」という対策はWebサイトの正当性を確認するためのものであり，ブラウザ内部でのデータ改ざんには対応できません。「ワンタイムパスワードを導入する」という対策はログイン時の不正アクセス防止には有効ですが，ログイン後に取引内容自体が改ざんされるMITB攻撃には直接的な効果がありません。

「SSLではなくTLSを利用する」という説明も，通信経路上の暗号化強化にはなりますが，ブラウザ内部での改ざんを防ぐものではありません。MITB攻撃はブラウザ内部で情報が書き換えられる点が特徴であるため，通信内容そのものの正当性を検証する仕組みが必要になります。