クロスサイトリクエストフォージェリ（CSRF）とは？くろすさいとりくえすとふぉーじぇり
クロスサイトリクエストフォージェリ（CSRF）とは、利用者のブラウザを踏み台にして、本人が意図していない操作をサイト側へ実行させる攻撃。ログイン状態のブラウザは宛先ドメイン向けのクッキーを自動で付けるため、罠ページから送らせたリクエストもサイト側には本人の操作に見える。防ぐには、画面ごとに配った推測できない値を送信時に照合する。
最終更新：2026-10-06
ネットワークSPを最短で暗記・合格する →背景
認証は「誰か」を確かめる仕組みで、「その操作を本人が意図したか」までは確かめていない。クッキーは宛先を見て自動的に付くので、リクエストがどのページから発生したかは区別されない。この意図の確認が抜けている隙を突くため、通信路の暗号化でも送信元IPの制限でも防げない。境界の対策では止まらない攻撃の代表として押さえておく。
具体例
社内のWeb管理画面にログインしたまま別のタブで罠ページを開くと、隠しフォームが自動送信され、管理者の権限で設定変更が実行される。送信元IPを社内に限っても同じ端末から出るので防げず、画面表示時に埋めたトークンの照合が要る。
試験での引っ掛け
XSSと違い、攻撃者は応答の中身を読めない。目的は情報の窃取ではなく操作を実行させることにある。対策では、参照元ヘッダの確認だけに頼るのは確実性を欠き、クッキーにSameSite属性を付ける方法も既定値と対応ブラウザに依存するため、トークン照合の代替にはならない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。