MITB攻撃とは？えむあいてぃーびーこうげき
MITB攻撃とは、利用者のブラウザ内部に潜んだマルウェアが、入力内容や画面表示を書き換える攻撃。通信路がTLSで保護されていても、暗号化される前・復号された後のデータを操作するため、通信の暗号化では防げない。画面には利用者が入力したとおりの内容を表示し続けるので気づきにくい。
最終更新：2026-10-06
この語が出る過去問を解く →背景
経路上の盗聴・改ざんはTLSでほぼ塞がれたため、攻撃はより端点へ寄った。ブラウザの拡張機能やAPIフックを使えば、暗号化される直前の平文に手を入れられる。「経路を守れば安全」という前提が端末側から崩された典型で、支援士では対策を通信ではなく取引内容の確認に置けるかが問われる。
具体例
インターネットバンキングでは、送金内容をトランザクション署名に対応した専用トークンやスマートフォンアプリに表示させ、利用者が金額と振込先を目で確かめてから署名する方式が採られている。端末の中で書き換えられても、別デバイスの表示とは一致しない。
試験での引っ掛け
TLSでもワンタイムパスワードでも防げない。OTPは「誰が操作したか」を確かめるだけで「何を送金するか」は保護しないため、書き換え後の取引がそのまま正規の取引として通る。経路上に割り込む中間者攻撃とは、割り込む場所が端末内である点で別物である。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
インターネットバンキングの利用時に被害をもたらすMITB（Man-in-the-Browser）攻撃に有効な対策はどれか。
正解：インターネットバンキングでの送金時にWebブラウザで利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
要点：MITB対策は取引内容自体を署名して突き合わせる
MITB攻撃はブラウザ内部でマルウェアが送信内容を書き換えるため、通信路の暗号化やログイン時の認証強化では防げません。利用者が入力した取引内容そのものに署名し、金融機関側で受信内容と突き合わせるトランザクション署名なら、改ざんを検知できます。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）
インターネットバンキングの利用時に被害をもたらすMITB攻撃に有効な対策はどれか。
正解：インターネットバンキングでの送金時にWebブラウザで利用者が入力した情報と,金融機関が受信した情報とに差異がないことを検証できるよう,トランザクション署名を利用する。
要点：MITBには取引内容への署名と突合が有効
MITB攻撃ではブラウザ内部に潜んだマルウェアが送信直前に振込先や金額を書き換えるため、通信路の暗号化やログイン認証の強化では検知できません。取引内容そのものに署名し、金融機関が受信内容と突き合わせるトランザクション署名なら改ざんを見抜けます。
出典：令和2年度 10月試験 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）解説で登場
インターネットバンキングの利用時に被害をもたらすMITB（Man in the Browser）攻撃に有効な対策はどれか。
正解：インターネットバンキングでの送金時に利用者が入力した情報と、金融機関が受信した情報とに差異がないことを検証できるよう、トランザクション署名を利用する。
要点：MITB対策は取引内容そのものへの署名で改ざんを検出する
MITB攻撃は、利用者のブラウザに入り込んだマルウェアが、暗号化される前の入力内容や表示内容を書き換える。通信路の暗号化やサーバ証明書の確認、ログイン時の認証強化では、正規のセッション内で送金先や金額を差し替えられてしまう。そこで取引内容そのものを別経路の端末で確認し、その内容に対する署名（トランザクション署名）を返す方式なら、改ざんを検出できる。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
インターネットバンキングの利用時に被害をもたらすMITB (Man-in-the-Browser) 攻撃に有効なインターネットバンクでの対策はどれか。
正解：インターネットバンキングでの送金時に利用者が入力した情報と、金融機関が受信した情報とに差異がないことを検証できるよう、トランザクション署名を利用する。
要点：MITB対策は取引内容自体を別経路で検証するトランザクション署名
MITB攻撃は、利用者のブラウザに寄生したマルウェアが、正規のログインとセッションの内部で送信内容を書き換える。通信路の暗号化やサイトの真正性確認、ログイン時の認証強化はいずれも改ざんが行われる前段の話なので防げない。そこで、利用者が入力した振込先や金額をブラウザ外の独立した機器で確認し、その値から生成した署名（トランザクション署名）を銀行側が検証する方式が有効となる。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問7（IPA）
インターネットバンキングでのMITB攻撃による不正送金について、対策として用いられるトランザクション署名の説明はどれか。
正解：利用者が送金取引時に、"送金操作を行うPCとは別のデバイスに振込先口座番号などの取引情報を入力して表示された値"をインターネットバンキングに送信する。
要点：取引情報を別デバイスで署名して照合するのがトランザクション署名
MITB攻撃ではブラウザ内部で送信内容が書き換えられるため、ログイン時の認証を強化しても取引内容の改ざんは防げない。トランザクション署名は、振込先口座番号や金額といった取引情報を感染していない別のデバイスに入力させ、そこで生成された値を送信させる方式である。銀行側が受け取った取引情報から同じ値を計算して照合するので、改ざんがあれば一致せず検知できる。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。