中間者攻撃（MITM）とは

このシリーズ「攻撃者の視点を知る」では、Webサイトを狙う代表的な攻撃の手口を、1つずつやさしく解説します。目的は攻撃の「やり方」を知ることではなく、しくみを知ることで「何を」「なぜ」「どう」守るべきかを判断できるようになることです。実際に攻撃を試すための情報は含みません。ここまでの4つの手口（SQLインジェクション、XSS、ブルートフォース攻撃、クレデンシャルスタッフィング）は、サイトの中身やログインを直接狙う手口でした。ここからは、利用者とサイトの「間」で起きる手口を見ていきます。

中間者攻撃（MITM）とは

中間者攻撃（Man-in-the-Middle、MITM）とは、利用者のパソコンやスマートフォンと、Webサイトのサーバーとの間でやり取りされている通信の間に、第三者が入り込む手口です。利用者とサイトは、どちらも相手と直接やり取りしていると思っていますが、実際には通信が第三者を経由しており、その第三者が内容を見たり、書き換えたりできる状態になっています。

郵便物にたとえると分かりやすいかもしれません。あなたが封をした手紙を郵便配達の人に直接手渡し、相手に届けてもらうのが、ふつうの通信です。中間者攻撃は、配達の途中で誰かがその手紙をいったん抜き取り、封を開けて中身を読んだり書き換えたりしてから、もとのように封をし直して配達を続けさせるようなものにたとえられます。送った側も受け取った側も、途中で何かあったことには気づきません。

どのような場面で起こりやすいか

特に、カフェや空港などで提供されている、だれでも接続できる暗号化されていないWi-Fiのような共有ネットワークは、この手口が成立しやすい環境として知られています。同じネットワークに接続している人の通信を、特別な権限なしに覗きやすい状態になりうるためです。くわしくは「公衆Wi-Fiの危険性と安全な使い方」で解説しています。

何が起きるおそれがあるのか

• ログイン情報やログイン状態を保つための情報が盗み見られ、なりすましに使われる
• やり取りしている内容（入力した情報など）が、途中で書き換えられる
• 本物のサイトのふりをした偽の画面に誘導される

なぜ成立してしまうのか

通信が暗号化されていない（HTTPSになっていない）場合、やり取りされている内容はそのまま読み取れる形で流れてしまいます。通信が暗号化（HTTPS）されている場合でも、ブラウザが表示する「この接続は安全ではない可能性があります」といった証明書の警告を利用者が見過ごしてしまうと、結果として中間者攻撃を許してしまうことがあります。

サイト運営者・利用者としての備え

1. サイト全体をHTTPSにする：やり取りを暗号化することが基本の備えです。くわしくは「SSL証明書とHTTPSの基本」で解説しています。
2. 証明書の警告を見過ごさない：サイト運営者自身が管理画面にログインするときも、証明書の警告が出た場合は安易に進まないようにしましょう。
3. 共有Wi-Fiでの管理画面ログインに注意する：外出先の共有Wi-Fiから管理画面にログインする場合は、通信が暗号化されているかをあらためて確認しましょう。

外から見える範囲の設定は無料診断で確認できます。

このシリーズの続き

ここまでは、情報を盗み見たり書き換えたりする手口を紹介しました。最後は、情報を盗んだり書き換えたりするのではなく、サイトそのものを使えなくしてしまう「DDoS攻撃」を見ていきます。

参考にした公開情報

• OWASP：Man-in-the-middle attack（英語）

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。