解説

MITB（Man-in-the-Browser：ブラウザ乗っ取り）攻撃は、マルウェアがブラウザに寄生し、ユーザが正規の操作をしている間に、画面表示を改ざんして別口座への不正送金を実行する攻撃。送金先の画面には正規の口座が表示されていても、実際の通信では攻撃者口座が指定されるため、ワンタイムパスワード（OTP）だけでは防御できない。MITB攻撃への対策として「トランザクション署名」が有効で（c：正解）、ユーザが「送金操作を行うPCとは別のデバイス（スマートフォン等）」に振込先口座番号などの取引情報を入力して表示された署名値をインターネットバンキングに入力することで、サーバ側が「ブラウザの操作内容と署名値が一致するか」を検証できる。ブラウザが改ざんしていれば署名値と実際の振込先が不一致となり攻撃を検知できる。

なぜ他の選択肢は違うのか

選択肢 ア

金融機関から登録メールアドレスに送金用ワンタイムパスワードを送信する方式はSMS OTPやメールOTPによる認証強化策だが、MITB攻撃では攻撃者がブラウザに寄生してOTPを入力しても裏で別口座への送金に置き換えられるため、OTP単体では防御できない。トランザクション署名は取引内容ごとに署名を行う点がOTPとの本質的な違いである。

選択肢 イ

認定認証局が署名したデジタル証明書による利用者認証はEV SSL証明書等を活用した認証強化策だが、MITB攻撃の本質はログイン認証ではなく取引内容の改ざんにある。証明書によるログイン認証が成功した後でも、ブラウザ内マルウェアによって送金先を改ざんされる攻撃は防げない。

選択肢 エ

別デバイスでログイン用ワンタイムパスワードを算出してログインに使う方式（TOTP等による2段階認証）はログイン時の不正アクセス防止には有効だが、MITB攻撃には対処できない。ログイン後にブラウザマルウェアが送金先口座を書き換えるためで、ログイン認証の強化と取引内容の検証（トランザクション署名）は別の対策概念である。

解くときのポイント

MITB攻撃の対策としてのトランザクション署名: 別デバイスで取引情報を確認し署名することで、感染したPCのブラウザによる改ざんをサーバ側が検出できる。OOB（Out-of-Band）認証の考え方。