解説

MITB（Man-in-the-Browser）攻撃は、ブラウザに感染したマルウェアがHTTPS通信を暗号化する前または復号した後（ブラウザ内部）でデータを改ざん・窃取する攻撃です。ユーザはHTTPS通信中（鍵マークが表示）でも、ブラウザ内でデータが改ざんされているため気づけません。例えばオンラインバンキングで送金先口座番号を「攻撃者の口座」に書き換える攻撃が典型例です。MITBへの有効な対策は「トランザクション署名（取引署名）」で、ユーザが行う取引の内容（送金先・金額等）をスマートフォン等の別チャネルで署名・確認します。マルウェアがブラウザ内のデータを改ざんしても、別チャネルで確認した取引内容と署名が一致しなければ不正を検出できます。

なぜ他の選択肢は違うのか

選択肢 ア

EV SSL（Extended Validation）サーバ証明書は、サーバの組織情報をより厳格に確認した証明書で、サイトの正当性確認に役立ちます。しかしMITB攻撃はHTTPS通信自体は正常で、ブラウザ内でデータが改ざんされるため、EV SSL証明書では防御できません。

選択肢 ウ

ワンタイムパスワード（OTP）はリプレイ攻撃や認証情報の盗取に有効ですが、MITB攻撃ではブラウザ内で送金先口座が改ざんされるため、OTPで認証できても「改ざんされた取引内容」が実行されてしまいます。認証の強化だけでは取引内容の改ざんを防げません。

選択肢 エ

SSLとTLSの違いはプロトコルバージョンの問題で、TLSはSSLの後継としてより安全ですが、MITB攻撃はTLSの暗号化後・復号前（ブラウザ内部）で行われるため、TLSへの移行だけでは防御できません。

解くときのポイント

MITB対策＝トランザクション署名（別チャネルで取引内容確認）。ブラウザ内改ざんを別経路での確認で検出。