中間者攻撃（MITM攻撃）の仕組みと狙われる情報
中間者攻撃の基本的な仕組みと、攻撃者が狙う情報を押さえましょう。通信経路に割り込まれると、ID・パスワードや取引内容が盗まれるおそれがあります。暗号化された通信でも油断できない理由もあわせて確認します。
通信の間に割り込んで盗聴・改ざんする攻撃
中間者攻撃は英語で「Man-in-the-Middle Attack」と呼ばれ、頭文字をとってMITM攻撃とも表記されます。利用者とサーバーの間に攻撃者が位置し、双方に対して相手になりすまして通信を中継する点が基本構造です。利用者から見ると正規のサイトとやり取りしているように見えるため、異変に気付くのは簡単ではありません。
攻撃者が狙うのは、ログイン時に送られるIDやパスワード、クレジットカード番号、メールの内容などです。単に盗み見るだけでなく、振込先口座を書き換えたり、不正なファイルを紛れ込ませたりする改ざんも起こり得ます。情報漏えいと不正操作の両方につながり、金銭被害や取引先の信用低下にも発展しかねない点が、この攻撃の厄介なところです。
HTTPSでも油断できない理由
現在は多くのWebサイトがHTTPS（通信を暗号化する仕組み）に対応しており、経路上で内容を読み取られる危険は大きく下がりました。ただし、暗号化は正しい相手と接続できていることが前提です。偽の証明書を受け入れてしまったり、暗号化されていない通信へ誘導されたりすると、保護は機能しません。鍵マークが表示されていても、接続先が正規の事業者とは限らない点に注意しましょう。
ブラウザに証明書の警告が出ても、そのまま先へ進めてしまう利用者は少なくありません。また、社内の古いシステムや一部のIoT機器では、暗号化されない通信が残っている場合もあります。HTTPSは有効な防御策ですが、使い方や設定次第で抜け穴が生まれる点を理解しておくことが大切です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
中間者攻撃で使われる代表的な手口
攻撃者はネットワークの弱点や利用者の油断を突いて、通信経路に入り込みます。ここでは、企業の端末や従業員が遭遇する可能性のある3つの代表的な手口を取り上げ、仕組みを解説します。
偽のWi-Fiアクセスポイントによる盗聴
代表的な手口が、正規の公衆Wi-Fiとよく似た名前のアクセスポイントを攻撃者が設置する方法です。「悪魔の双子（Evil Twin）」とも呼ばれ、カフェや駅、ホテルなど人が集まる場所で仕掛けられる例が知られています。利用者が誤って接続すると、その後の通信は攻撃者の機器を経由します。一度接続した名前のWi-Fiに端末が自動で接続する設定も、被害のきっかけになり得ます。
偽のアクセスポイントでは、接続時に偽のログイン画面を表示して認証情報を入力させる手口も考えられます。暗号化されていないWi-Fiや、パスワードが広く共有されているWi-Fiでは、同じネットワーク内の第三者に通信を覗かれる危険も残ります。外出先で業務を行う従業員にとって、身近なリスクといえます。
ARPスプーフィングやDNSスプーフィング
ARPスプーフィングは、IPアドレスと機器固有のMACアドレスを対応付ける仕組み（ARP）を悪用する手口です。攻撃者が偽の応答を送り、同じネットワーク内の端末に自分の機器をルーターだと誤認させて通信を横取りします。社内LANに不正な端末が接続された場合や、社内の端末がマルウェアに感染した場合にも起こり得る攻撃です。
DNSスプーフィングは、ドメイン名をIPアドレスに変換するDNSの応答を偽り、利用者を偽サイトへ誘導する手口です。DNSサーバーに偽の情報を記憶させる方法もあり、URLを正しく入力していても接続先が差し替えられます。見た目だけで偽物と見抜くのは困難です。どちらの手口も、利用者側の操作ミスがなくても発生し得る点に注意が必要です。
SSLストリッピングと不正な証明書の悪用
SSLストリッピングは、本来HTTPSになるはずの通信を、暗号化されないHTTPのまま中継させる手口です。利用者側は暗号化されていない状態で通信を続けるため、入力した情報がそのまま読み取られます。アドレスバーの表示を注意深く見なければ、異変に気付くのは困難です。特に、最初の接続をHTTPで始めた場合に狙われやすいとされています。
もう1つは、攻撃者が用意した偽の証明書を使い、暗号化通信の途中に割り込む手口です。ブラウザは通常、信頼できない証明書に警告を出しますが、警告を無視して進むと攻撃が成立するおそれがあります。スマートフォンアプリの中には証明書の検証が不十分なものもあり、社内で利用するアプリ経由の通信も確認対象に含める必要があります。
セッションハイジャックや水飲み場攻撃との違い
中間者攻撃は、ほかの攻撃と組み合わせて使われたり、似た攻撃と混同されたりします。対策の抜け漏れを防ぐため、セッションハイジャックと水飲み場攻撃を取り上げ、攻撃の起点や狙いの違いを整理します。
ログインを乗っ取るセッションハイジャックとの関係
セッションハイジャックは、ログイン後の利用者を識別するセッションIDを盗み、本人になりすまして操作する攻撃です。セッションIDは主にCookieに保存されるため、これを入手されるとパスワードを知られていなくても不正アクセスが可能です。中間者攻撃は、Webサイトの脆弱性を突く攻撃などと並び、このセッションIDを盗む手段の1つとして使われます。
つまり、中間者攻撃が通信経路に割り込む「手段」を指すのに対し、セッションハイジャックはなりすましという「結果」に焦点を当てた呼び方といえます。近年は偽のログインページで通信を中継し、多要素認証の後に発行されるセッション情報まで盗む手口も報告されています。認証を強化しても、セッション管理が甘いと被害を防ぎきれない点に注意が必要です。
水飲み場攻撃は通信経路ではなくWebサイトを狙う
水飲み場攻撃は、標的とする組織の従業員がよく閲覧するWebサイトを改ざんし、訪問者をマルウェアに感染させる攻撃です。水飲み場に集まる動物を待ち伏せて仕留める様子にたとえて、この名前が付けられました。業界団体や取引先のサイトなど、信頼されているサイトが悪用される点が特徴です。特定の業界や組織を狙う標的型攻撃の一種として位置付けられています。
中間者攻撃が利用者とサイトの間の経路に入り込むのに対し、水飲み場攻撃は接続先のサイトそのものを攻撃の起点にします。そのため、通信の暗号化だけでは防ぐことができず、端末側のマルウェア対策や、OS・ブラウザ・プラグインの速やかな更新が欠かせません。どちらも利用者が普段どおり行動しているだけで被害に遭う点は共通しています。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でサイバー攻撃対策の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
企業が実践すべき中間者攻撃への対策
中間者攻撃を防ぐには、通信・認証・運用の各面から対策を重ねることが重要です。ここでは、優先して取り組みたい技術的な対策と、従業員の行動に関わるルール整備の2つの観点から解説します。
通信の暗号化を徹底し、セッション情報を守る
まず取り組みたいのが、自社のWebサイトや社内システムの通信を例外なくHTTPSで提供することです。あわせてHSTS（ブラウザに常にHTTPSで接続させる仕組み）を設定すると、SSLストリッピングのような暗号化の解除を防ぎやすくなります。古いバージョンのTLSを無効化するなど、暗号化方式の設定も定期的に見直しましょう。
セッション情報を守るには、CookieにSecure属性やHttpOnly属性を付け、暗号化されない通信やスクリプトから読み取られにくくします。ログイン後にセッションIDを再発行し、一定時間操作がなければ自動でログアウトさせる設定も有効です。社内ネットワークでは、不正な端末の接続を検知・遮断する仕組みも検討するとよいでしょう。
多要素認証とWi-Fi利用ルールで人の隙を減らす
IDとパスワードが盗まれても不正ログインを防げるよう、多要素認証（パスワード以外の要素を組み合わせる認証）を導入しましょう。特にFIDO2やパスキーのように、正規のサイトでしか認証が成立しない方式は、偽サイトを中継する手口への耐性が高いとされています。全社への一斉導入が難しい場合は、重要なシステムから優先して適用するのが現実的です。
運用面では、暗号化されていない公衆Wi-Fiでの業務を禁止し、社外から接続する際はVPN（暗号化された専用の通信経路をつくる仕組み）を使うルールを定めます。証明書の警告が出たら先へ進まないといった基本動作も、研修で繰り返し伝えることが大切です。ルールは文書化して従業員に周知し、定期的に遵守状況を確認しましょう。
中間者攻撃の被害に気付くサインと初動対応
中間者攻撃は気付きにくい攻撃ですが、兆候が現れる場合もあります。被害を最小限に抑えるには、異変を早く察知し、決められた手順で対応することが欠かせません。確認したいサインと初動を紹介します。
証明書の警告や通信の異常を見逃さない
分かりやすい兆候の1つが、普段は表示されない証明書の警告がブラウザやアプリに出ることです。いつも利用しているサイトのアドレスがHTTPになっている、URLのつづりが微妙に違うといった変化も、中間者攻撃を疑うきっかけです。通信が急に遅くなる、接続が頻繁に切れるといった症状が見られる場合もありますが、他の原因でも起こるため総合的な判断が必要です。
企業としては、利用者の気付きに頼るだけでなく、ネットワークの監視で異常を捉える体制を整えることが重要です。IPアドレスに対応するMACアドレスが突然変わるといったARPの異常や、見慣れないDNS応答は、ログから検知できる場合があります。セキュリティ製品のアラートを定期的に確認する運用も欠かせません。
疑わしいときに取るべき初動対応
中間者攻撃が疑われたら、まず該当する端末をWi-Fiやネットワークから切り離します。そのうえで、情報システム部門やセキュリティ担当者に速やかに報告し、指示を仰ぎましょう。接続していたネットワーク名や閲覧していたサイト、表示された警告の内容も伝えます。自己判断で端末を初期化すると、調査に必要な記録が失われるおそれがあります。
あわせて、攻撃を受けた可能性がある期間に利用したサービスのパスワードを、別の安全なネットワークや端末から変更します。ログイン中のセッションを強制的に終了させ、不審なログイン履歴や身に覚えのない取引がないかも確認しましょう。こうした手順をあらかじめインシデント対応計画に盛り込んでおくと、いざというときに迷わず行動できます。
通信の保護・監視と初動対応を支える製品
社内ネットワークの監視や社外通信の保護、被害が疑われるときの調査・初動対応など、本記事で解説した対策を支える製品・サービスを紹介します。
SG-ONE
- 複数の強力なセキュリティ機能！サイバー攻撃対策を1台でカバー
- 簡単設置！既存ルーターとスイッチの間へ差し込むだけ
- セキュリティ機能が有効状態でも高速なスキャンが可能
株式会社 USEN ICT Solutionsが提供する「SG-ONE」は、複数のセキュリティ機能を1台にまとめたネットワーク機器です。アンチウイルスやファイアウォール、IPS（不正侵入防止）、Web脅威対策に加え、ネットワークの監視やログ管理の機能を備えています。既存のルーターとスイッチの間に設置する構成で、専門知識がなくても導入しやすい点が特徴です。パソコンやネットワークカメラなどの接続端末をまとめて保護できます。
クライアント運用管理ソフト SKYSEA Client View
- 「日経コンピュータ 顧客満足度調査 2026-2027」で1位を獲得！
- サイバー攻撃の脅威から組織の情報資産を守る
- EDRでエンドポイントセキュリティを強化
Sky株式会社が提供する「クライアント運用管理ソフト SKYSEA Client View」は、組織内のパソコンなどの端末を管理するソフトウェアです。ランサムウェアをはじめとするサイバー攻撃に多層的に備える機能を搭載しています。社外からインターネットにアクセスする際は社内ネットワークを強制的に経由させ、社内と同じセキュリティ対策を適用できます。ログ管理にも対応し、提供形態はオンプレミスとクラウドから選べます。
インシデント対応 （クラウドストライク合同会社）
- 24時間365日待機の専門家が迅速に復旧支援
- 侵害経路と影響範囲をフォレンジック調査で特定。
- AIと脅威情報で調査・判断を加速。
セキュリティインシデント対応支援サービス （株式会社PFU）
- 専門エンジニアが、インシデントの初動から復旧まで対応。
- サイバー攻撃や不正アクセスの痕跡を解析・可視化。
- 全国約100拠点でオンサイト支援、24時間365日の迅速対応体制。
まとめ
中間者攻撃は、通信する二者の間に攻撃者が割り込み、盗聴や改ざんを行う攻撃です。偽のWi-FiやSSLストリッピングなど手口は複数あり、セッションハイジャックの手段にもなります。対策の基本は、通信の暗号化とHSTSの設定、多要素認証の導入、公衆Wi-Fiの利用ルール整備を組み合わせることです。異変のサインと初動手順も共有し、被害を最小限に抑えられる体制を整えましょう。
