MITB攻撃とは？仕組みと被害事例、多要素認証も突破される理由と対策
インターネットバンキングを使っているとき、「正規のサイトにアクセスしていれば安全」と思っていませんか。
MITB攻撃は、その前提を根底から覆すサイバー攻撃です。SSLによる暗号化も、多要素認証も、正規URLへのアクセスも、すべてが”意味をなさなくなる”状況を作り出します。
この記事では、MITB攻撃の仕組みから手口、具体的な被害事例、そして実践的な対策まで、セキュリティ担当者はもちろん、日常的にオンラインバンキングや業務システムを使う方にとっても役立つ形で整理しています。
MITB攻撃とは
MITB攻撃（Man-in-the-Browser Attack）とは、ユーザーのWebブラウザ内部にマルウェアを潜伏させ、通信内容の盗み見・改ざんをひそかに行うサイバー攻撃です。「ブラウザの中に攻撃者がいる」という状態を意味し、略して「MITB」と呼ばれます。
一般的なサイバー攻撃は「通信の経路」を標的にするものが多い中、MITB攻撃が特異なのは、ブラウザという”画面のすぐ内側”に入り込む点にあります。ユーザーが画面で確認している情報と、実際にサーバーへ送られているデータが異なる。それがMITB攻撃の核心的な恐ろしさです。
技術的には、ブラウザのプラグインや拡張機能、あるいはOSのDLL（Dynamic Link Library）に不正なコードが注入されることで攻撃が成立します。感染後はしばらく潜伏状態に入り、ユーザーが特定のWebサイト（主にオンラインバンキングや決済サービス）にアクセスした瞬間に活動を開始する、という仕組みです。
MITBという名称は、2006年にセキュリティ研究者のTrusteerが最初に定義した概念に由来します。当初は理論的な攻撃モデルとして示されましたが、その後実際のマルウェアへの実装が相次ぎ、特に2010年代以降、インターネットバンキングを狙った金銭的被害を伴う攻撃として世界的に問題化しました。
なぜMITB攻撃は発見が難しいのか
MITB攻撃が厄介な最大の理由は、ユーザーには何も「異常」に見えないことです。
アドレスバーには正規のURLが表示されています。SSL証明書は有効です。画面に表示されている振込先口座も、自分が入力した番号に見えます。しかし実際にはその番号はすでに書き換えられており、攻撃者が用意した別の口座へ送金が実行されます。
セキュリティの世界では「見えない攻撃が最も危険」と言いますが、MITB攻撃はまさにその典型です。フィッシング詐欺であれば「怪しいURLに気をつける」という対策が有効ですが、MITB攻撃にその対策は通用しません。画面上の情報が正しく見えることそのものが、攻撃の一部になっているからです。
もう一点、MITB攻撃が発見しにくい理由があります。マルウェア自体が「特定のサイトへのアクセス時だけ動作する」という設計になっていることが多く、ウイルス対策ソフトによるスキャン時には目立った動作をしないケースがある点です。攻撃者はあえて潜伏期間を長く設け、平時は無害に見えるよう設計します。
MITB攻撃の仕組み：感染から実行まで
MITB攻撃は大きく「感染フェーズ」と「攻撃実行フェーズ」の2段階で進行します。
感染フェーズ：マルウェアがブラウザに入り込むまで
まず端末がマルウェアに感染する必要があります。感染経路として代表的なものを挙げると、以下が確認されています。
不審なメール添付ファイルを開くことによる感染（いわゆる「ばらまき型メール」）が依然として多数を占めます。PDFや Word ファイルを装ったマルウェアが添付されており、開いた瞬間に実行される仕組みになっています。
改ざんされたWebサイトを閲覧するだけで感染する「ドライブバイダウンロード」も主要な感染経路の一つです。ブラウザやプラグインの脆弱性を悪用して、ユーザーが何もダウンロードしていなくても自動的にマルウェアがインストールされます。
正規ソフトウェアに見せかけた偽インストーラーも使われます。フリーソフトの公式サイトと見た目が酷似した偽サイトから配布されるケースや、ソフトウェアのアップデートに見せかけたポップアップから誘導されるケースがあります。
公衆Wi-Fiを悪用したケースでは、ネットワーク経由で端末への不正アクセスが試みられます。
感染に使われる代表的なマルウェアとして、「URLZone（別名：Bebloh）」「Gozi（別名：Ursnif）」「Panda Banker」などが知られています。これらはサイバー犯罪者によって日々亜種が生成・配布されており、既存のウイルス対策ソフトのシグネチャベースの検出では追いつかないという現実問題があります。新しい亜種が配布されてから検出定義が更新されるまでのタイムラグを突く手法が常態化しています。
攻撃実行フェーズ：ブラウザ内部での不正操作
マルウェアが端末に潜伏した後、ユーザーがオンラインバンキングなど標的サイトにアクセスした瞬間に攻撃が動き出します。
ブラウザのAPIに割り込む形で、入力データの読み取りや改ざんが行われます。具体的な流れは次のようになります。
ユーザーが正規のオンラインバンキングサイトにアクセスする
マルウェアがブラウザ内で起動し、ページの読み込みを監視
ユーザーがIDやパスワード、振込先情報を入力
送信前にマルウェアが入力データを横取りし、振込先口座番号などを書き換える
サーバーへは改ざんされたデータが送信される
ユーザーの画面には元のデータが表示されたまま
この一連の動作が、ユーザーには一切気づかれずに完了します。「確認画面の数字は正しかった」という証言が多い理由はここにあります。マルウェアは確認画面に表示される数字も正規のものに戻すため、ユーザーが画面上で最終確認を行っても異常を発見できません。
技術的にはブラウザのDOM（Document Object Model）操作やHTTPリクエストの傍受によって実現されており、ブラウザの正規の機能を悪用した攻撃と言えます。
MITB攻撃の代表的な手口
キーボード入力情報の窃取
最も基本的な手口が、ユーザーのキーボード操作を記録するキーロギングです。IDやパスワードのほか、認証コード、クレジットカード番号なども対象になります。
ここで注意すべきは、入力のタイミングと文脈まで記録される点です。「どのサイトで」「何を」入力したかが記録されるため、単なるパスワードの漏洩に留まらず、アカウントの乗っ取りや二次的な詐欺に利用される情報が一度に取得されます。
また、仮想キーボードを使って入力した場合でも、クリック座標の記録によって文字を推測されるケースがあります。「仮想キーボードを使えば安全」という認識は、MITB攻撃に対しては必ずしも正確ではありません。
暗証番号・認証コードの窃取
オンラインバンキングで使われる乱数表や、SMSで届くワンタイムパスワード（OTP）も、MITB攻撃の前では有効な防御策にはなりません。
なぜなら、マルウェアはブラウザ内でユーザーが入力した値をリアルタイムに読み取れるからです。ユーザーがOTPを入力した瞬間に、マルウェアがその値を取得し、攻撃者のサーバーへ転送します。攻撃者はそのOTPを使って別のセッションで不正操作を実行します。
「多要素認証を導入しているから安全」という認識は、MITB攻撃に対しては不完全です。多要素認証はフィッシング攻撃への有効な対策ですが、ブラウザ内部での操作を制御するものではありません。認証が成功した後の取引内容を保護する仕組みとしては機能しないという点を、正確に理解しておく必要があります。
振込先口座情報の改ざん
MITB攻撃で最も実害につながりやすい手口が、振込先口座の書き換えです。
ユーザーが入力した正規の振込先口座番号を、マルウェアが攻撃者の口座番号に差し替えてサーバーへ送信します。ユーザー側の画面には元の口座番号が表示され続けるため、確認ボタンを押すまで気づくことはありません。
金額の書き換えが同時に行われるケースもあります。小額の送金を大額に変更したり、複数回の取引を一括で改ざんするといった手口が確認されています。日本では2012年以降、複数の金融機関でこの手口による不正送金被害が確認されており、各金融機関がWebサイト上で注意喚起を行うほど深刻な問題となりました。
MITB攻撃とMITM攻撃の違い
よく混同されるのが、MITM攻撃（Man-in-the-Middle Attack）との違いです。
MITM攻撃は「通信の中継点」に攻撃者が割り込む攻撃です。ユーザーとサーバーの間の通信経路を傍受・改ざんします。そのため、SSLによる暗号化や、VPNの使用、証明書の確認といった対策が一定の効果を持ちます。怪しい証明書警告が表示された場合に通信を止めることで被害を防ぎやすい面もあります。
一方、MITB攻撃は「ブラウザの内側」で動作します。暗号化された通信はブラウザで復号されてから送信されますが、マルウェアはその復号された状態のデータに手を加えます。つまり、SSLが有効であっても、その後の処理でデータが改ざんされるため、暗号化による防御が無効化されます。
比較項目 MITM攻撃 MITB攻撃 攻撃の場所 通信経路（ネットワーク） ブラウザ内部（端末） SSL暗号化の有効性 有効 無効 前提条件 通信経路への介入 端末へのマルウェア感染 ユーザーへの可視性 URLの不一致などで気づく可能性あり ほぼ気づかない 主な検出手段 証明書検証、通信監視 端末のマルウェア検知
この違いを理解することは、どちらの攻撃への対策を優先すべきかを判断するうえで重要です。両者は同時に発生することもあり、それぞれへの対策を独立して考えておく必要があります。
MITB攻撃とフィッシング攻撃の違い
フィッシング攻撃は、銀行やECサイトを装った偽サイトに誘導し、IDやパスワードを入力させる手口です。「URLを確認する」「証明書を確認する」という習慣が有効な防御策になります。
しかしMITB攻撃では、ユーザーは正規のサイトにアクセスしています。URLも証明書も本物です。偽サイトは存在しません。フィッシング対策として浸透している「URLをよく確認しよう」という教育は、MITB攻撃への対策としては機能しません。
この違いを整理すると次のようになります。
フィッシング攻撃は「外側から騙す」攻撃です。ユーザーを偽の環境に誘導します。一方、MITB攻撃は「内側から操る」攻撃です。本物の環境の中に攻撃者が潜り込んでいます。
フィッシング対策を万全にしたとしても、MITB攻撃への備えは別途必要であることを組織として認識することが、現実的なセキュリティ戦略の出発点になります。特に金融機関のシステムを利用する企業の情報システム部門にとっては、この認識の差が実際の被害額に直結します。
MITB攻撃による被害事例
日本国内での不正送金被害
日本では2012年10月以降、インターネットバンキングを標的にしたMITB攻撃による不正送金被害が複数の金融機関で報告されました。警察庁のサイバー犯罪対策の公表資料によれば、バンキングマルウェアを使った不正送金事件は一時期急増しており、その手口の多くがMITB型の攻撃でした。
被害の特徴として報告されているのは、「取引を実行した覚えがない」「確認画面では正しい振込先が表示されていた」というものです。これはMITB攻撃の性質を如実に示しています。
金融機関側の対応として、ワンタイムパスワードの導入やトランザクション認証の採用が進みましたが、マルウェア自体もその仕様変更に合わせて進化するイタチごっこが続いており、完全な解決には至っていません。
使用されたマルウェアの実例
代表的な攻撃ツールとして確認されているマルウェアには以下のものがあります。
URLZone（Bebloh） は日本国内への感染が多数確認されているバンキングマルウェアです。メールの添付ファイルや悪性Webサイトからの感染が主な経路で、感染後はC2（コマンド＆コントロール）サーバーから攻撃の設定情報を受け取り、標的となる金融機関のサイトにアクセスしたタイミングで動作します。
Gozi（Ursnif） は複数の亜種が存在し、長期間にわたって世界中の金融機関を標的にしてきたマルウェアです。ブラウザのプロセスに注入される実装が特徴で、MITB攻撃の代表的な実装例とされています。日本語環境への対応が施された亜種も確認されており、日本の金融機関を特に狙った設定が含まれるものも報告されています。
Panda Banker は金融機関を主な標的とするマルウェアです。感染端末のブラウザを乗っ取り、インターネットバンキングの認証情報や取引情報を窃取します。他のマルウェアと比較して検出を回避する技術が高度に実装されているとセキュリティ研究者から指摘されています。
これらのマルウェアはサイバー犯罪グループによって継続的に亜種が生成されており、パターンファイルによる検出が追いつかないという現実があります。新しい亜種が配布されてから検出定義が更新されるまでのタイムラグを突く運用が行われているためです。
MITB攻撃への対策
MITB攻撃は「防ぎにくい」というイメージを持たれがちですが、組み合わせによってリスクを大幅に低減できます。単一の対策に頼るのではなく、複数の層で防御する「多層防御」の考え方が有効です。
強力なアンチウイルス・EDRの導入
MITB攻撃の出発点はマルウェアの感染です。そのため、端末にマルウェアを侵入させないこと、あるいは侵入後に速やかに検知・排除することが最初の防衛ラインになります。
従来のパターンマッチング型のウイルス対策ソフトは、既知のマルウェアには有効ですが、日々生成される新しい亜種への対応が遅れるという課題があります。この課題に対応するために注目されているのが、振る舞い検知や機械学習を活用したNGAV（Next Generation Antivirus）と、EDR（Endpoint Detection and Response）の組み合わせです。
EDRは端末上の不審な動作をリアルタイムで監視し、マルウェアの挙動そのものを検知します。シグネチャが存在しない未知のマルウェアでも、ブラウザプロセスへの不正な介入という「行動パターン」で検出できる点が、MITB攻撃対策として特に有効です。
EDRに加え、SOC（Security Operation Center）による24時間監視サービスを組み合わせることで、インシデント発生時の初動対応を迅速化できます。特に中小企業では専任のセキュリティ担当者を置くことが難しいケースも多く、マネージドセキュリティサービスとして提供されているEDR＋SOCの組み合わせを検討する価値があります。
ブラウザのセキュリティ設定強化
不要な拡張機能やプラグインは定期的に見直し、信頼できるものだけを残すことが重要です。MITB攻撃の感染経路の一つが、悪意ある拡張機能のインストールです。特にChrome拡張機能については、公式Webストア外からのインストールを禁止するポリシーを企業端末に適用することが推奨されます。
また、ブラウザの自動更新を有効にしておくことも基本的かつ重要な対策です。ブラウザの脆弱性を悪用してマルウェアを注入する手口があるため、最新バージョンへの継続的な更新がリスク低減に直結します。企業においてはグループポリシーやMDM（Mobile Device Management）を使ってブラウザのバージョンを一元管理するアプローチも有効です。
Flash Playerなど、すでにサポートが終了したプラグインが残っている場合は即座に削除してください。脆弱性が放置されたままのプラグインは攻撃者にとって格好の標的となります。
トランザクション認証の導入
通常の多要素認証（MFA）だけでは不十分であることは前述のとおりです。MITB攻撃に対してより有効な認証方式として、トランザクション認証があります。
トランザクション認証とは、取引の内容そのものを認証の要素に組み込む方式です。たとえば「振込先口座番号の下4桁」と「金額」をSMSで送り、それを入力させることで、マルウェアが口座番号を書き換えていた場合にユーザーが気づける仕組みになっています。
通常のOTPはログイン認証の強化に使われるものであり、取引内容の正当性は担保しません。トランザクション認証はその取引が「本当に自分が意図した内容か」を確認する手段として機能します。欧州では金融機関に対してSCA（Strong Customer Authentication）としてこの仕組みの導入が規制上求められているケースがあります。
ただし、トランザクション認証も「SMSの傍受」というリスクが完全にゼロではありません。より高いセキュリティを求める場合は、専用のハードウェアトークンや、取引内容をQRコードとして表示してスマートフォンアプリで読み取らせる方式も検討に値します。
マルウェア感染を防ぐ行動習慣
技術的な対策と同時に、感染経路を断つ行動習慣の定着も欠かせません。
メールの添付ファイルや本文内リンクは、差出人が信頼できる場合でも慎重に扱うことが求められます。「信頼できる送信元から届いたメール」であっても、その送信元アカウント自体がすでに侵害されているケースがあるためです。
公衆Wi-Fiでのオンラインバンキングや決済操作は避けるべきです。通信経路の安全性が担保できない環境では、MITM攻撃との複合リスクも高まります。テレワーク環境では、VPNを使ったうえで企業の管理されたネットワーク経由でアクセスする運用が推奨されます。
ソフトウェアは公式サイトまたは公式ストアからのみインストールする習慣も重要です。検索エンジンの結果で上位に表示されていても、それが公式サイトである保証はありません。特にフリーソフトの配布サイトを装った偽サイトが多数存在しており、注意が必要です。
OSおよびブラウザのアップデートを定期的に行うことは、脆弱性を悪用した感染を防ぐ基本中の基本です。企業においては、パッチ管理の仕組みを整えて更新の遅れが生じないよう管理することが求められます。
セキュリティ教育の継続的な実施
企業においては、従業員へのセキュリティ教育も欠かせない対策です。
「フィッシングサイトへの誘導を防ぐ」という観点のみの教育では、MITB攻撃への備えとしては不十分です。「正規サイトにアクセスしていても安全とは限らない」「確認画面の情報が改ざんされている可能性がある」という認識を持たせることが、MITB攻撃特有のリスクへの理解につながります。
実際にフィッシングメールの模擬訓練を行っている組織は増えていますが、MITB攻撃に関連する教育内容として「送金確認時に電話やチャットで相手方に口頭確認する」というプロセスを業務フローに組み込む企業も出てきています。画面上の数字を信頼せず、別の手段で取引内容を確認するという習慣は、MITB攻撃の被害を防ぐ最終的な人的防御策として機能します。
また、金融機関などから提供されているセキュリティ情報を定期的に確認する習慣を組織として根付かせることも、脅威の変化に対応していくうえで有効です。
MITB攻撃のよくある疑問
ワンタイムパスワード（OTP）はMITB攻撃に有効か
有効ではありません。OTPはログイン認証の強化には役立ちますが、MITB攻撃はログイン後のブラウザ操作に介入します。ユーザーが正規にログインした後、取引内容を書き換えるという手口はOTPでは防げません。先述のトランザクション認証との組み合わせが必要です。
スマートフォンはMITB攻撃に対して安全か
スマートフォンも完全に安全とは言えません。スマートフォン向けのバンキングマルウェアも存在しており、フィッシングサイトや不正アプリ経由での感染が確認されています。ただし、PCのブラウザ環境と比較して攻撃の実装難度が高いため、被害報告は相対的に少ない傾向があります。
公式ストア外からのアプリインストールを避けること、そしてOSとアプリのアップデートを怠らないことが、スマートフォンにおける基本的な防御策です。
MITB攻撃に感染した場合の対処法
不審な取引が確認された場合は、直ちに金融機関へ連絡し、取引の停止・調査を依頼してください。振込完了後でも、受取先金融機関への連絡により振込停止が間に合うケースがあります。
その後、感染端末でのオンラインバンキングの利用を停止し、セキュリティソフトによるスキャンと駆除を行います。マルウェアの完全な駆除が確認できない場合は、OSの再インストール（フォーマット）が最も確実な対処方法です。感染状態での使用継続は、追加の被害リスクを高めます。
また、感染端末で使用していたすべてのサービスのパスワードを別の端末から変更することも忘れてはいけません。感染期間中に入力したパスワードはすべて漏洩している可能性があります。
どのような業種がMITB攻撃の主な標的になるか
金融機関のオンラインバンキングが主な標的ですが、EC（電子商取引）サイトの決済機能や、企業の経理システムも標的になりえます。被害を受けた場合の損失額が大きいほど、攻撃者にとって価値が高い標的になります。
中小企業は大企業と比較してセキュリティ投資が少ない傾向があるため、狙われやすいという側面があります。大企業向けの高度なセキュリティ製品が使えなくても、基本的な対策の徹底と従業員教育によってリスクを下げることは十分に可能です。
まとめ：MITB攻撃は「気づけないからこそ危険」
MITB攻撃の脅威を一言で表すなら、「すべてが正常に見えるまま攻撃が完了する」という点に尽きます。
正規のURLにアクセスしている。SSLは有効だ。確認画面の数字も合っている。それでも、ブラウザの内側ではデータが書き換えられ、攻撃者の口座へ送金が進行している。そのギャップが、MITB攻撃を従来のセキュリティ教育で対処しにくくしている本質的な理由です。
対策の要点を整理すると次のようになります。
端末へのマルウェア感染を防ぐことが最優先です。NGAVやEDRの導入、OSとブラウザの常時アップデート、不審なメール添付ファイルへの慎重な対応が基本となります。
感染した場合でも被害を最小化する仕組みとして、トランザクション認証の導入が有効です。特に金融機関や決済システムを運用する組織にとっては、OTPだけに頼った認証設計の見直しが求められます。
技術的な対策と並行して、「正規サイトにアクセスしていても安全ではない可能性がある」という認識を組織内に浸透させる継続的な教育が、人的なリスクを下げるうえで欠かせません。
MITB攻撃はその特性上、単一の「これだけやれば安全」という対策が存在しません。複数の対策を組み合わせ、定期的に見直していく継続的なセキュリティ管理の姿勢が、変化し続ける脅威に対応するための現実的なアプローチです。
サイバー攻撃の手口は常に進化しています。今日有効な対策が明日も同じように機能するとは限りません。自社のセキュリティ体制を定期的に評価し、必要に応じて専門家の知見を取り入れながら継続的に改善していくことが、組織を守るための長期的な姿勢として求められます。
MITB攻撃対策チェックリスト
自社・自身の状況を確認するための対策チェックリストをまとめます。
端末・ソフトウェアの管理
OSのセキュリティアップデートを自動適用に設定しているか
使用しているブラウザが最新バージョンであるか
ウイルス対策ソフトが有効かつ定義ファイルが最新であるか
不要なブラウザ拡張機能・プラグインを削除しているか
Flash Playerなどサポート終了済みのプラグインが残っていないか
認証・取引の安全性
オンラインバンキングにトランザクション認証が導入されているか
金融機関が提供するセキュリティ対策ソフトを導入しているか
高額送金時には電話など別の手段で取引内容を確認するプロセスがあるか
送金完了メールを別端末でも受信できる設定になっているか
行動・運用面
公衆Wi-Fiでのオンラインバンキング操作を避けているか
メール添付ファイルを開く前に送信元・内容を確認する習慣があるか
ソフトウェアのダウンロードは公式サイトのみから行っているか
定期的にアカウント明細・取引履歴を確認しているか
企業・組織向け
従業員向けのセキュリティ教育が定期的に実施されているか
EDRまたはNGAVが全端末に導入されているか
インシデント発生時の連絡・対応フローが整備されているか
取引承認フローに複数人の確認が組み込まれているか
すべての項目を一度に整備する必要はありませんが、優先度の高いものから段階的に取り組むことで、MITB攻撃を含むサイバー脅威に対する組織全体の耐性を高めることができます。
MITB攻撃に関連する用語解説
MITB攻撃を理解するうえで関連する用語を整理しておきます。
バンキングマルウェア：金融機関のオンラインバンキングを主な標的とするマルウェアの総称。MITB攻撃を実行するマルウェアの多くがこのカテゴリに分類されます。URLZone、Gozi、Dridex、Emotetなどが代表例として知られています。
ドライブバイダウンロード：改ざんされたWebサイトや悪性広告を閲覧するだけでマルウェアが自動的にインストールされる攻撃手法。ユーザーが何もダウンロードしていなくても感染が成立する点が特徴です。
C2サーバー（Command and Control Server）：感染した端末を遠隔操作するための指令サーバー。マルウェアはC2サーバーから攻撃対象リストや不正送金先口座などの指示を受け取ります。
DOM操作：Document Object Modelの操作。Webページの構造をプログラムから変更する技術で、MITB攻撃ではこれを悪用して画面表示と実際の送信データを乖離させます。
NGAV（Next Generation Antivirus）：機械学習や振る舞い検知を活用した次世代型ウイルス対策ソフト。従来のシグネチャベースの検出では捉えられない未知のマルウェアにも対応できる点が特徴です。
EDR（Endpoint Detection and Response）：端末上での不審な挙動をリアルタイム監視・記録し、インシデント発生時の調査と対応を支援するセキュリティツール。マルウェアがブラウザプロセスに注入しようとする動作を検知する手段として、MITB攻撃対策での有効性が認められています。
SCA（Strong Customer Authentication）：欧州のPSD2規制で義務付けられた強力な顧客認証の要件。取引金額や振込先に基づいた動的な認証（トランザクション認証）が含まれており、MITB攻撃のような取引内容の改ざんリスクに対応する仕組みとして機能します。
MITB攻撃を取り巻く最新動向
MITB攻撃は2010年代に急増した後、金融機関側のセキュリティ強化によって一時的に被害件数が落ち着いた時期もありましたが、攻撃手法の進化とともに現在も脅威であり続けています。
近年の傾向として注目されているのが、MITB攻撃とソーシャルエンジニアリングを組み合わせた複合攻撃です。マルウェア感染をきっかけに標的を特定し、その人物の行動パターンや取引内容を学習したうえで、より巧妙な詐欺へと発展させる手口が確認されています。
また、ブラウザ技術の変化に合わせて攻撃手法も変化しています。従来のブラウザ拡張機能を悪用した手口に加え、JavaScriptを使った動的なページ改ざんや、Webアセンブリ（WebAssembly）を利用した難読化された不正コードの実行など、検出を難しくするための技術的な洗練が進んでいます。
クラウド型の経費精算システムや企業向けSaaSが普及したことで、攻撃対象が従来のオンラインバンキングだけでなく、企業の業務システム全般に広がっている点も見逃せません。社員が日常的に使う業務システムへのアクセスがMITB攻撃の経路になるリスクを、企業のセキュリティ戦略として織り込む必要があります。
セキュリティの専門家の間では、MITB攻撃への対策として「ゼロトラスト」の考え方が有効とされています。「社内ネットワークにいるから安全」「正規の認証を通過したから信頼できる」という前提を排除し、すべてのアクセスを継続的に検証するという設計思想です。すべての企業が即座にゼロトラストアーキテクチャを実装できるわけではありませんが、その考え方を取り入れながら段階的にセキュリティ体制を強化していくことが、今後のサイバー脅威全般への対応として有効な方向性です。
まとめ
MITB攻撃について、この記事で押さえておきたいポイントを整理します。
MITB攻撃の本質は、「正規サイトへのアクセス中に、ブラウザ内部でひそかにデータが改ざんされる」という点にあります。URLも証明書も本物であるため、フィッシング詐欺への対策として広く普及している「URLを確認する習慣」が機能しません。見えないところで攻撃が完結するという性質が、被害発覚を遅らせる大きな要因になっています。
多要素認証やSSLも万能ではないという認識も重要です。ワンタイムパスワードはログイン認証の強化には有効ですが、ログイン後の取引内容を守るものではありません。取引そのものの正当性を担保するためには、振込先や金額を別経路で確認する「トランザクション認証」の考え方が必要です。
対策は多層防御が基本です。NGAVやEDRによる端末保護、ブラウザのセキュリティ設定の見直し、トランザクション認証の導入、従業員教育の継続。これらは単独では完全ではなく、組み合わせることで初めてリスクを実質的に下げられます。
MITB攻撃への備えに不安がある場合は、自社のセキュリティ体制を専門家に評価してもらうことも選択肢のひとつです。対策の優先順位や組み合わせは組織の規模・業種・システム構成によって異なるため、状況に応じたアドバイスを得ることが、効率的なセキュリティ投資につながります。
