クロスサイトリクエストフォージェリとは？くろすさいとりくえすとふぉーじぇり
クロスサイトリクエストフォージェリとは、ログイン済みの利用者のブラウザに、攻撃者が用意した画面から意図しない要求を送らせ、サーバ側で本人の正規操作として処理させる攻撃。ブラウザが対象サイトのCookieを自動的に付けて送る仕様を突くため、利用者から見ると罠のページを開いた瞬間に操作が完了してしまう。
最終更新：2026-10-06
この語が出る過去問を解く →背景
HTTPは要求を1つずつ独立して扱うため、サーバはセッションが有効かどうかしか見ておらず、その要求を利用者が本当に意図したものかを判断する材料を持たない。この設計上の隙を埋めるには、正規の画面遷移を経たことを示す情報を要求へ持たせるしかない。支援士では、XSSとの違いと対策の当て所を日本語で書き分けられるかが問われる。
具体例
会員サイトの退会、登録メールアドレスの変更、送金が、罠サイトを開いた瞬間に実行される。対策はワンタイムトークンを画面へ埋めてサーバ側で照合すること、CookieにSameSite属性を付けること、重要な操作の前にパスワードを再入力させることの組合せになる。
試験での引っ掛け
文字のエスケープはXSSの対策であってCSRFには効かない。Refererの確認だけでも不十分で、送られない環境がある。攻撃者は応答を読めないため、成立するのは「実行させる」操作であり、情報を読み出すこと自体は目的にならない。
関連用語
出た過去問
出典：平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）
クロスサイトリクエストフォージェリ攻撃の対策として，効果がないものはどれか。
正解：Webブラウザからのリクエストを Webサーバで受け付けた際に，リクエストに含まれる“<”や“>”などの特殊文字を，タグとして認識されない“<”や“>”などの文字列に置き換える。
要点：エスケープはXSS対策で、CSRFにはトークン照合が要る
CSRFは、利用者がログイン済みであることを悪用し、攻撃者が用意した外部サイトから正規サイトへ意図しない要求を送らせる攻撃である。対策は、その要求が正規の画面遷移に由来し利用者の意思によるものかを確認することであり、乱数トークンの照合、重要操作時の再認証、Refererの確認などが挙げられる。特殊文字のエスケープはXSS対策であって、CSRFには効果がない。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問1（IPA）
クロスサイトリクエストフォージェリ攻撃の対策として、効果がないものはどれか。
正解：Webブラウザからのリクエストを Webサーバで受け付けた際に、リクエストに含まれる“<”,“>”などの特殊文字を、“<”,“>”などの文字列に置き換える。
要点：CSRF対策は要求の正当な出所の確認で、文字のエスケープは無効
CSRFは、ログイン済みの利用者のブラウザに攻撃者が用意した要求を送らせ、本人の意図しない処理を実行させる攻撃である。対策は、その要求が本当に正規の画面から意図して送られたものかを確認することであり、予測不能なトークンの照合、重要操作時のパスワード再入力、遷移元の確認などが該当する。特殊文字のエスケープはブラウザ上でのスクリプト実行を防ぐ手当てで、CSRFのように正しい形式のまま送られる要求には効かない。
出典：令和7年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16（IPA）
クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。
正解：Webブラウザからのリクエストを Webサーバで受け付けた際に,リクエストに含まれる“<”,“>”などの特殊文字を,“<”,“>”などの文字列に置き換える。
要点：CSRF対策は要求の出所確認で、文字のエスケープは無効
CSRFは、ログイン済み利用者のブラウザを使って意図しない要求を送らせる攻撃なので、対策の要はその要求が正規の画面から意図して発せられたかを確かめる点にある。予測できないトークンをページに埋め込んで照合する、重要操作でパスワードを再入力させる、遷移元を確認するといった方法が有効である。特殊文字のエスケープは出力時にスクリプトを実行させないための措置で、正しい形式のまま送られるCSRFの要求には効果がない。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。