Webスキミング（Magecart攻撃とも呼ばれる）は、悪意のあるスクリプトをWebサイトに注入し、ユーザーが入力したクレジットカード情報や個人データを攻撃者に送信する手口です。特にオンラインショッピングサイトがターゲットになることが多く、クレジットカード番号、名前、住所、CVCコードなどの支払い情報が盗まれる被害が報告されています。
Webスキミングの主な被害内容
クレジットカード情報の盗難
ユーザーがオンラインショッピングや支払いフォームでクレジットカード情報を入力すると、その情報が攻撃者のサーバーに送信されます。攻撃者はこの情報を使って、不正な購入や取引を行います。
個人情報の流出
クレジットカード情報だけでなく、名前、住所、電話番号、メールアドレスなどの個人情報も盗まれます。この情報はさらに他の詐欺行為や不正なマーケティングに悪用される可能性があります。
不正な取引や経済的損失
盗まれたクレジットカード情報が利用され、不正な取引が行われることで、カード所有者やビジネスオーナーに経済的損失が発生します。また、クレジットカードの無効化や再発行の手続きに伴う不便もあります。
信用損失と法的問題
被害を受けた企業は、顧客からの信頼を失うだけでなく、データ保護に関する法律（GDPRやCCPAなど）に違反した場合、高額な罰金が科される可能性もあります。
Webスキミングの具体的な手口
サードパーティライブラリやプラグインの改ざん
Webサイトが使用している外部のJavaScriptライブラリやプラグインに悪意のあるスクリプトが注入されます。多くのサイトはサードパーティのライブラリを利用しており、これがスキミング攻撃の入り口となります。
サーバーの侵害
攻撃者が直接Webサーバーに侵入し、そこに悪意のあるコードを挿入します。この方法では、改ざんされたコードがユーザーに配信され、情報を盗み取ることができます。
クロスサイトスクリプティング（XSS）
Webサイトの脆弱性を突いて、XSS攻撃を仕掛け、フォームに入力されたクレジットカード情報を盗みます。
ドメイン乗っ取りやDNS攻撃
DNSを操作し、ユーザーを偽のWebサイトに誘導することで、情報を盗む手法です。
Webスキミングの対策方法
コンテンツセキュリティポリシー (CSP) の導入
CSPは、Webページが実行するスクリプトやスタイルシートのソースを制御するセキュリティメカニズムです。外部の不正なスクリプトの実行を防ぎ、悪意のあるコードが実行されるリスクを軽減します。これにより、攻撃者が注入したスクリプトをブロックすることができます。
サードパーティリソースの監視
Webスキミング攻撃の多くは、外部のJavaScriptライブラリやプラグインの脆弱性を突いて行われます。使用しているサードパーティリソースを定期的に監視し、脆弱なライブラリやプラグインがないか確認することが重要です。信頼できるソースから最新のリソースを使用するよう心がけましょう。
サーバーのセキュリティ強化
Webサーバーの適切なセキュリティ対策を講じることで、攻撃者がサーバーに侵入することを防ぎます。特に、強力なパスワードの使用、ファイアウォールの設定、不要なサービスの停止、最新のセキュリティパッチの適用が必要です。また、2要素認証（2FA）を使用して、サーバー管理者のログインを保護することも有効です。
Webアプリケーションファイアウォール（WAF）の導入
WAFは、Webアプリケーションに対する不正なアクセスをブロックするセキュリティツールです。WAFを利用することで、SQLインジェクションやクロスサイトスクリプティング（XSS）など、攻撃の初期段階で脅威を検出し防止することができます。
セキュリティスキャンの実施
定期的にWebサイトのセキュリティスキャンを実施し、脆弱性を検出・修正します。自動化されたスキャンツール（OWASP ZAPやNessusなど）を使用して、悪意のあるスクリプトや脆弱性を検出することが可能です。
ホワイトリストモデルの使用
ホワイトリストモデルを用いて、信頼できるスクリプトやコンテンツのみを実行するように設定することで、未知の脅威や不正なスクリプトの実行を防ぎます。特に、外部からのJavaScriptやスタイルシートの読み込みには慎重になる必要があります。
顧客情報の暗号化
クレジットカード情報や個人データの送受信は常に暗号化された接続（SSL/TLS）を使用します。これにより、通信の傍受や盗聴からデータを保護します。
サーバーログの監視と不審な活動の検出
サーバーログやWebアプリケーションのログを監視し、不審なアクセスや活動をリアルタイムで検出します。攻撃が発生した場合、迅速に対処できるような監視体制を整えることが重要です。
Webスキミング被害にあった場合の対応
被害の範囲特定
まず、被害を受けた範囲を特定し、どの情報が盗まれたか確認します。特に、クレジットカード情報が流出した場合は、該当するカード会社にすぐに報告します。
セキュリティホールの修正
脆弱性が発見された場合、ただちにそのセキュリティホールを修正します。これには、外部ライブラリの更新やサーバーのセキュリティパッチ適用が含まれます。
顧客への通知
クレジットカード情報が盗まれた場合、該当するユーザーや顧客に速やかに通知し、被害拡大を防ぐための対策を講じます。また、信用回復のための手続きも並行して行います。
法的対応とコンプライアンス遵守
必要に応じて法的手続きを行い、詐欺の被害に対して法的に対応します。また、データ保護規則（GDPRなど）に基づいた報告義務を果たす必要があります。
まとめ
Webスキミングは、オンライン取引や個人情報を狙った高度な攻撃手法です。特にクレジットカード情報が標的となりやすいため、企業は常にWebサイトのセキュリティ対策を最新の状態に保つ必要があります。セキュリティポリシーの整備や定期的なセキュリティ診断を実施し、攻撃を未然に防ぐためのプロアクティブな対策が重要です。