Man-in-the-Middle Attack

中間者攻撃（MITM：Man-in-the-Middle Attack）とは、通信を行う二者の間に攻撃者が密かに割り込み、通信内容の傍受や改ざんを行うサイバー攻撃手法です。被害者は正規の相手と直接通信していると信じていますが、実際にはすべてのデータが攻撃者を経由しています。

代表的な手法として、SSL/TLSストリッピング（HTTPS通信をHTTPにダウングレードさせる攻撃）、ARPスプーフィング（ローカルネットワーク内でのMACアドレス詐称）、DNSスプーフィング（DNSレスポンスの偽装によるリダイレクト）などがあります。これらの手法を組み合わせることで、攻撃者はログイン認証情報、クレジットカード情報、個人データなどを窃取します。

近年では、従来の中間者攻撃をさらに発展させたAitM（Adversary-in-the-Middle）攻撃が増加しており、リアルタイムフィッシングプロキシを使用してMFAトークンを中継し、多要素認証を突破する高度な攻撃が報告されています。公共Wi-Fiの普及により攻撃の機会は増加しており、暗号化通信とネットワークセキュリティの重要性が一層高まっています。

中間者攻撃の種類

• ARPスプーフィング：ローカルネットワーク内で偽のARP応答を送信し、ゲートウェイのMACアドレスを攻撃者のものに書き換える。これにより、同一ネットワーク内の全通信を傍受可能になる
• DNSスプーフィング：DNSキャッシュポイズニングやDHCPを悪用してDNS応答を偽装し、正規サイトへのアクセスを攻撃者が用意した偽サイトにリダイレクトする
• HTTPSスプーフィング：偽のSSL/TLS証明書を使用して暗号化通信を装い、被害者に安全な接続であると誤認させる。ホモグラフ攻撃（視覚的に類似したドメイン名の使用）と組み合わせることが多い
• Wi-Fiスプーフィング（Evil Twin）：正規のWi-Fiアクセスポイントと同名の偽アクセスポイントを設置し、接続したユーザーの通信をすべて傍受する
• SSLストリッピング：HTTPS接続をHTTPにダウングレードさせ、暗号化されていない平文通信として傍受する。ユーザーとサーバー間の通信を中継し、サーバー側にはHTTPS接続を維持する

HSTSによる防御

HSTS（HTTP Strict Transport Security）は、Webブラウザに対して特定のドメインへの接続を常にHTTPSで行うよう指示するセキュリティヘッダーです。HSTSが有効な場合、ブラウザはHTTP接続を自動的にHTTPSにアップグレードし、SSLストリッピング攻撃を防止します。

さらにHSTSプリロードリストに登録することで、初回アクセス時からHTTPS接続が強制され、初回アクセス時のダウングレード攻撃（TOFU問題）も解消されます。Google Chrome、Firefox、Edge、Safariなどの主要ブラウザがHSTSプリロードリストをサポートしています。

証明書ピンニング

証明書ピンニング（Certificate Pinning）は、特定のサーバーに対して期待される証明書（またはその公開鍵）をアプリケーション側に事前に埋め込む技術です。接続時にサーバーから提示される証明書がピンニングされたものと一致しない場合、接続を拒否します。

これにより、攻撃者が正規の認証局（CA）を侵害して発行した不正な証明書を使用するMITM攻撃を防御できます。ただし、証明書の更新管理が複雑になるデメリットがあり、近年ではCertificate Transparencyログの監視が代替手段として推奨されるケースも増えています。

公共Wi-Fiのリスク

カフェ、空港、ホテルなどの公共Wi-Fiは、MITM攻撃の格好の標的です。暗号化されていないオープンネットワークでは、同一ネットワーク内の攻撃者がパケットスニッフィングツール（Wireshark等）を使用して通信内容を容易に傍受できます。

VPN（仮想プライベートネットワーク）を使用することで通信全体を暗号化し、公共Wi-Fi上でのMITM攻撃のリスクを大幅に軽減できます。また、自動接続設定を無効にし、信頼できないネットワークへの意図しない接続を防止することも重要です。

AitM（Adversary-in-the-Middle）攻撃

近年急増しているAitM攻撃は、リアルタイムフィッシングプロキシ（Evilginx2、Modlishkaなど）を使用して、被害者とターゲットサーバーの間にリバースプロキシを設置する高度な攻撃手法です。被害者がフィッシングサイトに認証情報を入力すると、攻撃者はそれをリアルタイムで正規サーバーに転送し、MFAトークンやセッションCookieを含むすべての認証情報を窃取します。

従来のフィッシング対策（URLの確認、証明書の確認）では検知が困難であり、FIDO2/WebAuthn等のフィッシング耐性のある認証方式の導入が根本的な対策として推奨されています。

• 01
  HTTPS通信の強制とHSTSの有効化：Webサイトでは常にHTTPS接続を使用し、HSTSヘッダーを設定してください。HSTSプリロードリストへの登録により、初回アクセス時からのSSLストリッピング攻撃を防止できます。すべてのサブドメインにもincludeSubDomainsディレクティブを適用しましょう。
• 02
  VPNの利用：公共Wi-Fiを使用する際は、必ずVPN（仮想プライベートネットワーク）を使用して通信を暗号化してください。信頼性の高いVPNサービスを選択し、キルスイッチ機能を有効にしてVPN接続が切断された際の情報漏洩を防止しましょう。
• 03
  Certificate Transparencyの監視：自組織のドメインに対して発行された証明書をCertificate Transparency（CT）ログで継続的に監視してください。不正な証明書の発行を早期に検知することで、MITM攻撃の兆候を素早く把握できます。
• 04
  DNSSECの導入：DNS応答の完全性を検証するDNSSEC（Domain Name System Security Extensions）を導入してください。DNSスプーフィング攻撃による不正なDNS応答を検出し、偽サイトへのリダイレクトを防止できます。
• 05
  ネットワーク監視とARP対策：Dynamic ARP Inspection（DAI）やDHCPスヌーピングをネットワークスイッチで有効化し、ARPスプーフィング攻撃を防止してください。また、ネットワーク内の異常な通信パターンを検知するIDS/IPSの導入も効果的です。
• 06
  フィッシング耐性のある認証の採用：AitM攻撃に対抗するため、FIDO2/WebAuthn対応のハードウェアセキュリティキーやパスキーを導入してください。これらのプロトコルはオリジンバインドされた認証を行うため、フィッシングプロキシを介した認証情報の窃取を原理的に防止します。