CSRF(クロスサイトリクエストフォージェリ)とは、ログインしたままの人に偽のリンクやページを開かせ、本人が望んでいない操作を、本人の権限でサイトに送らせてしまう攻撃です。
仕組み
サイトは「ログイン中の人から届いた依頼」を本人のものとして受け付けます。攻撃者はこの性質を使い、罠のページを開いた人のブラウザから、パスワード変更や送金などの依頼をこっそり送らせます。本人は何も入力していないため、気づきにくいのが特徴です。
主な防ぎ方
代表的なのは、操作の画面ごとに使い捨ての合言葉(CSRFトークン)を発行し、依頼に付いていなければ受け付けない方法です。ほかに、Cookie に SameSite 属性を設定して他サイトからの送信を制限する方法もあります。重要な操作の前にパスワードの再入力を求めるのも有効です。
利用者側の注意点
ログインしたまま知らないリンクを開かないことや、使い終えたらログアウトすることが基本です。ただし利用者の注意だけでは防ぎきれないため、サイトを運営する側が上記の対策を入れておくことが大切です。

















