CSRF攻撃とは？仕組み・リスク・最新の対策方法をわかりやすく解説
CSRF（クロスサイト・リクエスト・フォージェリ）攻撃は、ユーザーが意図しない操作を、ユーザーが信頼しているウェブサイト上で実行させる攻撃手法です。ユーザーがログインしている状態（セッション情報が有効な状態）を悪用し、攻撃者の仕掛けたリクエストが正規の操作として実行される可能性があります。本記事では、CSRFの基本的な仕組みから、開発者側およびユーザー側で講じる対策まで、最新の知見に基づいて解説します。
CSRF攻撃の仕組み
CSRF攻撃は、以下の流れで発生します。
- ユーザーの認証状態
ユーザーがウェブサイトにログインすると、ブラウザにはそのセッション情報（通常はクッキー）が保存され、以降のリクエストに自動的に付与されます。 - 攻撃者の仕掛け
攻撃者は、不正なリクエストを作成し、ユーザーがアクセスする悪意あるウェブページやメール、広告などにそのリクエストを埋め込みます。 - 不正リクエストの送信
ユーザーが悪意あるページを閲覧すると、そのページ内に埋め込まれた<form>要素や<iframe>を利用して、ユーザーがログイン中のターゲットサイトへリクエストが自動的に送信されます。
※なお、JavaScriptを直接利用する方法は、Same-Origin Policy（SOP）によって制限されるため、通常のCSRF攻撃ではこれらのHTML要素を悪用する手法が主流です。
以下は、概念を示す簡単なフローチャートです。
ユーザーのブラウザ
│
▼
ログイン済みの認証情報（クッキー）
│
▼
悪意あるサイト（攻撃者）の仕掛け
│
▼
自動送信される不正なリクエスト
│
▼
ターゲットサイトで不正な操作が実行CSRF攻撃によるリスク
CSRF攻撃が成立すると、以下のような被害が発生する可能性があります。
- 不正なアカウント操作
ユーザーのアカウント情報（メールアドレス、パスワードなど）の変更や、プロフィール内容の不正な更新が行われる恐れがあります。 - 金銭の不正送金
銀行や決済サービスを対象とした場合、ユーザーの知らぬ間に送金処理が実行される可能性があります。 - 不適切な投稿・コメントの作成
SNSや掲示板において、ユーザー名義で不適切な内容が自動的に投稿されるリスクがあります。
これらの被害は、攻撃対象やサービスの重要性によっては甚大な影響を及ぼすことがあります。
CSRF攻撃への対策
ウェブサイトのセキュリティを高めるためには、複数の対策を組み合わせることが重要です。
CSRFトークンの利用
各リクエストに対して、サーバー側で生成したユニークなトークンを付与し、受信時に一致を確認する方法です。トークンが一致しないリクエストは拒否され、不正な操作が防がれます。
リファラ（Referer）チェック
リクエスト送信元のURLを検証して、信頼できるサイトからのリクエストのみを受け付ける手法です。ただし、Referrer-Policy の設定（例: no-referrer）やプライバシー保護機能によってリファラ情報が送信されない場合があるため、単独での対策は不十分です。一般的には、CSRFトークン等の他の手法と併用する必要があります。
SameSite属性付きクッキーの設定
クッキーにSameSite属性を設定することで、クロスサイトリクエスト時に自動的にクッキーが送信されるのを防止できます。
- SameSite=Lax: ユーザー操作によるナビゲーション（例: リンククリック）でのGETリクエストではクッキーが送信されますが、CSRFで多用されるPOSTリクエストでは送信されません。
- SameSite=Strict: すべてのクロスサイトリクエストにおいてクッキーが送信されなくなり、より厳格な対策となります。
- SameSite=None: クロスサイトでクッキーを送信する際に使用されますが、この場合はSecureフラグが必須となります。ただし、CSRF対策としては推奨されません。特別な理由がない限り、
SameSite=LaxまたはStrictを使用するべきです。
二段階認証（2FA）の導入
重要な操作に対しては、パスワードに加えてSMSや認証アプリなどの二段階認証を導入することで、不正なリクエストによる被害拡大を防ぎます。
ユーザー側でできるCSRF対策
開発者だけでなく、ユーザー自身ができる対策も存在します。以下の点に注意することで、CSRF攻撃のリスクを軽減できます。
- 不要なサイトへのログイン状態を避ける
CSRF攻撃はユーザーがログイン状態にあることを前提としています。特に重要なアカウント（銀行、決済サービスなど）は、利用後にログアウトする習慣をつけることが大切です。 - ブラウザのセキュリティ設定の見直し
定期的にブラウザの設定を確認し、不必要なクッキーの保存や、自動補完機能の管理を見直すことで、不要な認証情報が悪用されるリスクを減らします。 - 不審なリンクをクリックしない
メールやSNSで送られてくる怪しいリンク、または信用性の低いサイトからのリンクには十分に注意し、安易にクリックしないよう心がけましょう。
DNSキャッシュポイズニングとは？攻撃の仕組みから具体的対策まで徹底解説
まとめ
CSRF（クロスサイト・リクエスト・フォージェリ）攻撃は、ユーザーのログイン状態に潜む脆弱性を突き、意図しない不正操作を引き起こす危険な手法です。開発者側は、CSRFトークン、リファラチェック、SameSite属性付きクッキー、そして二段階認証など複数の対策を組み合わせ、堅牢なセキュリティ対策を講じる必要があります。同時に、ユーザー側でも、ログイン状態の管理やブラウザ設定の見直し、不審なリンクへの注意など、基本的なセキュリティ意識を高めることが重要です。
