中間者攻撃（man-in-the-middle attack）、略して MITM 攻撃とは、通信を直接行っていると認識している二者間に攻撃者が密かに介在し、その通信を傍受するサイバー攻撃の一種です。
攻撃者は、ユーザーと Web サイト、アプリケーション、またはネットワークサービスの間に入り込むことで、通信の監視、機密情報の窃取、一方の当事者へのなりすまし、またはデータを本来の宛先へ転送する前の改ざんを行う可能性があります。
中間者攻撃が成功した場合、ログイン認証情報、決済情報、企業の機密データ、認証トークン、セッショントークンなどが漏えいする可能性があります。
中間者攻撃は、オンパス攻撃（on-path attack）やAdversary-in-the-Middle（AiTM）攻撃と呼ばれることもあります。
中間者攻撃の仕組み
通常の接続経路は次のようになります。
ユーザー → Web サイトまたはアプリケーション
MITM 攻撃が発生すると、通信経路は次のようになります。
ユーザー → 攻撃者 → Web サイトまたはアプリケーション
攻撃者はまず、被害者の通信を傍受またはリダイレクトする必要があります。これには、ARP スプーフィング、DNS 操作、悪意のある Wi-Fi アクセスポイント、フィッシングプロキシなどの手法が使用されます。
攻撃者が通信経路上に入り込むと、やり取りされるデータの監視や改ざんを試みることができます。
暗号化されていない通信は、特に攻撃を受けやすくなります。一方、暗号化された HTTPS 接続は、TLS によってデータが暗号化され、サーバーの正当性も検証されるため、より強力な保護を提供します。ただし、攻撃者が証明書攻撃、SSL ストリッピング、セッショントークンの窃取などを試みる可能性は依然としてあります。
中間者攻撃の主な種類
攻撃者は、さまざまな手法を利用して MITM 攻撃を実行します。
ARP スプーフィング
ARP スプーフィング（ARP spoofing） は ARP ポイズニングとも呼ばれ、攻撃者が偽造したネットワークメッセージを送信することで、ローカルネットワーク上のデバイスから送信される通信を、正規のゲートウェイではなく攻撃者のデバイス経由に誘導する手法です。
攻撃者はその後、通信を本来の宛先へ転送しながら、その内容の監視や改ざんを試みることができます。
DNS スプーフィング
DNS スプーフィングまたは DNS ポイズニングは、ドメイン名を IP アドレスに変換する名前解決プロセスを不正に操作する攻撃です。
被害者が正しい Web サイトのアドレスを入力しても、攻撃者が管理するインフラストラクチャへリダイレクトされる可能性があります。これにより、認証情報の窃取、マルウェアの配布、その他の MITM 攻撃の支援などが行われることがあります。
Evil Twin Wi-Fi
Evil Twin 攻撃では、正規のネットワークに見せかけた悪意のある Wi-Fi アクセスポイントが使用されます。
例えば、攻撃者がホテル、空港、カフェなどの Wi-Fi サービスと同じ名前のネットワークを作成することがあります。ユーザーがそのネットワークに接続すると、通信は攻撃者が管理するインフラストラクチャを経由することになります。
SSL ストリッピング
SSL ストリッピング（SSL stripping） は、安全な HTTPS 接続を暗号化されていない HTTP 接続へダウングレードさせることを狙った攻撃です。
攻撃が成功すると、被害者が送信したデータを攻撃者に読み取られる可能性があります。HTTPS、HSTS、および適切な証明書検証を使用することで、このリスクを軽減できます。
セッションハイジャックと AiTM フィッシング
最新のAdversary-in-the-Middle フィッシング（AiTM phishing） では、ユーザーと正規のログインサービスの間に悪意のあるプロキシが配置されることがあります。
攻撃者は実際の認証ページを中継しながら、ユーザーの認証情報や、認証後に発行されるセッショントークンを窃取する可能性があります。ログイン自体は正規サービス上で行われるため、従来型の多要素認証の一部が回避されるケースもあります。
中間者攻撃を検知する方法
MITM 攻撃は、ユーザーに気付かれないよう実行されることが一般的ですが、以下のような兆候が見られる場合があります。
- ブラウザで予期しない証明書警告が表示される
- Web サイトが HTTPS ではなく HTTP で読み込まれる
- 見覚えのない、または同じ名前の Wi-Fi ネットワークが表示される
- Web サイトで不審なリダイレクトが発生する
- DNS 応答に異常が見られる
- ネットワーク、プロキシ、または証明書の設定が予期せず変更されている
セキュリティチームは、異常な ARP アクティビティ、不正なアクセスポイント、不審な DNS の挙動、予期しない TLS ダウングレードの試行などを監視することもできます。
中間者攻撃を防ぐ方法
組織は、多層的なセキュリティ対策を講じることで MITM 攻撃のリスクを軽減できます。
HTTPS と強固な TLS 設定を使用する
Web サイトやアプリケーションでは、HTTPSを強制し、安全な TLS 設定を使用する必要があります。暗号化することで、傍受された通信の内容が読み取られたり、改ざんされたりするリスクを軽減できます。
デジタル証明書を適切に検証する
ブラウザやアプリケーションは、TLS 証明書を正しく検証する必要があります。ユーザーは、機密性の高いサービスへアクセスする際に、証明書の警告を無視したり回避したりしないことが重要です。
DNS を保護する
DNSSEC、安全な DNS リゾルバー、DNS モニタリング、暗号化された DNS プロトコルなどを活用することで、DNS が不正に操作されるリスクを軽減できます。
公共 Wi-Fi の利用に注意する
ユーザーは、信頼できない、またはセキュリティが確保されていない Wi-Fi ネットワーク上で、機密情報を送信することを避けるべきです。信頼できないネットワークを使用する場合は、信頼性の高い VPN を利用することで、暗号化による追加の保護を得られます。
強力な認証を使用する
多要素認証はアカウントのセキュリティ向上に有効です。特に重要なアカウントを保護する組織では、FIDO2 セキュリティキーやパスキーなど、フィッシング耐性のある認証方式の採用も検討する必要があります。
HTTPS で中間者攻撃を防ぐことはできるか？
HTTPS は、MITM 攻撃を防ぐうえで最も重要な対策の一つです。
TLS は、暗号化、データの完全性保護、サーバー認証を提供することで、従来型のネットワーク傍受攻撃を大幅に困難にします。
ただし、HTTPS だけですべての MITM 攻撃を防げるわけではありません。攻撃者が認証済みのセッショントークンを窃取した場合、エンドポイントを侵害した場合、信頼された証明書を不正に操作した場合、または高度な AiTM フィッシングを使用した場合には、依然としてリスクが残ります。
そのため、HTTPS は安全な DNS、強力な認証、エンドポイントセキュリティ、ネットワークモニタリングなどと組み合わせて使用することが重要です。
CDNetworks が通信中のデータ保護を支援する方法
CDNetworks は、HTTPS および TLS 1.2、TLS 1.3 を含む最新の TLS プロトコルを使用した安全なコンテンツ配信をサポートしています。
ユーザー、エッジサーバー、オリジンインフラストラクチャ間の通信を保護することで、インターネット上を転送されるデータを保護し、傍受や改ざんのリスクを軽減します。
DNS セキュリティ、証明書管理、アクセス制御、継続的なモニタリングと組み合わせることで、暗号化されたコンテンツ配信は、中間者攻撃に対する多層防御を構成する重要な要素となります。
