クロスサイトリクエストフォージェリ（CSRF）とは？くろすさいとりくえすとふぉーじぇり
クロスサイトリクエストフォージェリ（CSRF）とは、利用者が自社サービスにログインしている状態のまま、攻撃者が用意した別のページを開かせ、そこから本人の権限で振込や設定変更といった処理を実行させる攻撃。ブラウザが認証情報を自動で送り出す性質を悪用するもので、正規の利用者が正規の権限で行った操作として記録が残るため、被害の立証が難しい。対策は、画面ごとに推測できない合言葉（トークン）を埋めて照合することにある。
最終更新：2026-10-06
ITストラテジストを最短で暗記・合格する →背景
Webの仕組みは、同じ利用者からの続きの要求だと判定できるよう認証情報を自動で付ける設計になっている。この便利さは、要求を出させた相手が自社の画面か他人の罠ページかを区別しない、という穴と表裏になる。要求が自社の正規画面から出たものだと確かめる手続きを別に置かない限り、この穴は塞がらない。ITストラテジストとして押さえるべきは手口の細部ではなく、事故が起きたときの立て付けで、経営会議では「利用者の操作記録が正しく残っていても、それが本人の意思による操作だとは限らない類の攻撃がある。だからこそ、高額処理には本人確認を一段挟む設計を要件に入れておきたい」と説明する。
具体例
インターネットバンキングや会員向けサイトでは、振込・住所変更・退会といった処理の直前にワンタイムパスワードや再認証を挟む設計が定着している。自社サービスのリニューアルをベンダーへ委託する場合、独立行政法人情報処理推進機構（IPA）の「安全なウェブサイトの作り方」に沿った実装と、第三者による脆弱性診断の合格を検収条件に書いておくことで、稼働後に発覚した際の是正費用の負担者を事前に決められる。
試験での引っ掛け
クロスサイトスクリプティング（XSS）との取り違えが定番で、こちらは攻撃者が応答の中身を読めず、狙いは情報の窃取ではなく操作の実行にある。もう一つは対策の選び方で、要求の送り元を示すヘッダの確認だけに頼るのは確実性に欠け、環境によっては欠落する。「利用者に怪しいサイトを開かせない教育」で防ぐ性質の攻撃でもない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。