CSRF (クロスサイトリクエストフォージェリ)

CSRF (XSRF、「シーサーフ」とも呼ばれます) は Web のセキュリティ脆弱性で、攻撃者が悪意あるリクエスト (メールアドレスの変更や送金など) を用意し、認証済みの利用者にそれを実行させます。多くは別サイト上の画像タグ、リンク、隠しフォームに埋め込む形で行われます。

この攻撃が成立するのは、ブラウザがあるドメインへのリクエストに毎回クッキー (セッションクッキーを含む) を自動的に添付するからです。利用者が銀行にログインしたまま悪意あるページを訪れると、攻撃者のリクエストはその有効なセッションを伴って送られます。

対策には、CSRF トークン (セッションごとまたはリクエストごとに固有)、SameSite クッキー属性、重要な操作に対する再認証の要求があります。共有アカウントで Web アプリケーションを開発または利用するチームにとって、CSRF の理解は重要です。