クロスサイトスクリプティングとは？種類・感染原因と対策を徹底解説

この記事は約 4 分で読めます。

今回はクロスサイトスクリプティングについて、その概要をご紹介しようと思います。クロスサイトスクリプティングはSNSやブログ、掲示板などを攻撃対象としている点から、社会的関心が高いサイバー攻撃です。

クロスサイトスクリプティングとは？

クロスサイトスクリプティング（XSS）は、エンドユーザー側がWebページを制作することのできる動的サイト（例：Twitter、掲示板等）に対して、自身が制作した不正なスクリプトを挿入するサイバー攻撃です。

直接的な被害は標的サイトではなく、サービスを利用しているエンドユーザーに対して及びます。標的になったサイトとは別のサイトに情報を送信（クロス）することから、この名前で呼ばれるようになりました。

以下はクロスサイトスクリプティングの代表例です。

クロスサイトスクリプティングの根本的な原因は、文字通り攻撃者が不正なスクリプトを挿入することができる環境を与えてしまうことにあります。つまり、クロスサイトスクリプティングに対して脆弱性を持つ動的サイトの放置です。

スクリプト文章にはエンドユーザー側が保有する個人情報を、標的サイトとは別のサイトに送信するように設定されており、これが直接的な被害を生み出します。

クロスサイトスクリプティングは、スクリプトを利用したサイバー攻撃です。

使用されるスクリプトには様々なものがありますが、なかでも「java」及び「htmlタグ」は頻出と言える言語。とくにできることの範囲が広いjavaを用いた攻撃は、著しい被害を及ぼす傾向にあるため、警戒が必要だと言えます。

クロスサイトスクリプティングによる攻撃は、標的サイトのエンドユーザーが被害を受けることで発生します。スクリプトの内容によって被害内容が異なる点が特徴で、代表的な被害例は下記の通りです。

クロスサイトスクリプティングによる攻撃で最も警戒すべきポイントは、いつ自身の提供するサービスが悪事に利用されるかわからない点です。過去「YouTube」や「Twitter」も同様の被害に遭っており、危険な事案だと指摘されています。

2010年	Youtube不正アクセス事件	クロスサイトスクリプティングに対する全弱性を突かれ被害にあった事例。Youtubeのコメントを記入できることを利用して行われ、不審なサイトへのリダイレクトやフェイクニュースを記載したポップアップなど、様々な被害を及ぼした。
2010年	Twitterワーム拡散事件	クロスサイトスクリプティングに対する脆弱性をついたワーム(ロールオーバーした文章を自動でリツイートしてしまう性質を持つ)が拡散し、爆発的な勢いで混乱が拡大。