Cookieとは？くっきー
Cookieは、Webサーバがブラウザに保存させ、以降のリクエストへ自動的に添えさせる小さなデータで、ログイン中の利用者を識別するセッションIDの入れ物として使われる。HTTPは1往復で完結して利用者を覚えないため、この識別子を持っている側を本人とみなすことで会員制のサービスが成り立っている。裏返せば、識別子を盗まれた時点で、パスワードを知られていなくても成りすましが成立する。
最終更新：2026-10-07
この語が出る過去問を解く →背景
午前I（令和8年度から科目A-1）は、テクノロジ・マネジメント・ストラテジの全分野から30問を薄く広く出すため、専門が設計でもプロジェクト管理でも運用でも監査でも、セキュリティ分野の数問は避けて通れない。この区分の過去問でCookieが現れるのは、いずれも攻撃の手口を見分ける設問の中である。属性の細かい仕様や実装の作法は問われず、「何が盗まれ、その結果として何が起きるか」の対応づけだけが問われる。1問あたり実質1分しかないので、手口の名前と被害の対応表が頭に入っているかどうかで所要時間が決まる。
具体例
重要な情報をブラウザへ送信する直前に、パスワードのような本人しか知らない情報でもう一度認証させる。こうしておけば、セッションを乗っ取られた後でも攻撃者はその先へ進めない。三菱UFJ銀行のインターネットバンキングが、ログイン済みであっても振込の実行時に改めてワンタイムパスワードを求めるのは、この考え方を実装したものである。通信の暗号化やセッションIDの保管場所の工夫は、乗っ取りそのものを起きにくくする予防側の対策で、役割が違う。
試験での引っ掛け
3点が繰り返し狙われる。第1に、クロスサイトスクリプティングの被害として典型的なのがCookieの窃取で、手口（Webアプリケーションのフォームの入力フィールドに悪意のあるJavaScriptコードを含んだデータを入力する）と結果（そのページを閲覧した別の利用者のブラウザでスクリプトが実行され、Cookieが盗まれる）を取り違えさせる形で出る。バッファオーバフローや強制ブラウジングの説明が誤答として並ぶ。第2に、セッションIDをCookieに格納するかURLに設定するかという置き場所の話は、乗っ取りを起きにくくする予防策であって、乗っ取られた後の被害拡大は止められない。被害の拡大防止を問われたら、答えは重要情報の送信直前の再認証になる。第3に、Cookieなどのセッション情報を盗んで成りすますのはセッションハイジャックであり、使用可能な文字のあらゆる組合せを順に試すブルートフォース攻撃とは別物である。
関連用語
出た過去問
出典：平成30年度 春期 高度試験 午前Ⅰ 問12（IPA）解説で登場
クロスサイトスクリプティングの手口はどれか。
正解：Webアプリケーションのフォームの入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
要点：XSSは入力欄にスクリプトを仕込み他の利用者に実行させる
クロスサイトスクリプティングは、Webアプリケーションが利用者の入力をそのままページに出力してしまう欠陥を突き、入力欄に悪意のあるスクリプトを埋め込む攻撃である。そのページを閲覧した別の利用者のブラウザ上でスクリプトが実行され、Cookieの窃取や偽の入力画面の表示などが起こる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。