近年、フォームジャッキング攻撃やMagecart攻撃が急増し、eコマースやデジタル決済の分野における主要な脅威となっています。これらのクライアントサイド攻撃は、組織のサーバーを経由することなく、クレジットカード番号、ログイン認証情報、個人を特定できる情報（PII）などの機密データをユーザーのブラウザーから密かに窃取します。第三者のスクリプトやフロントエンドコードに悪意のあるJavaScriptを直接挿入することで、従来の境界防御やサーバーサイド防御を回避します。
フォームジャッキングとMagecartを理解する
フォームジャッキングは、オンラインフォームに悪意のあるJavaScriptを挿入し、ブラウザレベルでユーザーの入力内容を取得する手法です。多くの場合、サードパーティ製スクリプトやコンテンツ配信ネットワーク（CDN）の脆弱性を悪用して実行されるため、サーバー側のセキュリティツールでは検出が困難です。
Magecartは、Webスキミングを専門とする複数のサイバー犯罪グループの総称です。これらのグループは通常、チェックアウト時に決済データを窃取するJavaScriptコードを挿入し、eコマースサイトを侵害します。窃取されたデータは攻撃者が管理するドメインへ送出されますが、多くの場合、難読化されるか、正規のものに見えるリクエストに紛れて隠されています。
どちらの攻撃タイプも、ブラウザという共通の攻撃経路を利用します。また、攻撃が成功するかどうかは、クライアント側で実際に実行される処理を組織がどの程度把握できていないかに左右されます。
PCI DSS v4.0.1の登場：クライアントサイドセキュリティの強化
With the release of the Payment Card Industry Data Security Standard（PCI DSS）v4.0.1のリリースに伴い、PCI Security Standards Councilは、増大するクライアントサイド攻撃の脅威に直接対処しています。PCI SSCは、この新たな攻撃経路に直接対処するため、2025年3月31日から適用される2つのクライアントサイド要件を初めて盛り込みました。
要件6.4.3：消費者のブラウザに読み込まれ、実行されるすべての決済ページスクリプトを、以下のとおり管理します：
- 各スクリプトが承認済みであることを確認する方法が実装されている。
- 各スクリプトの完全性を保証するための方法が実装されています。
- すべてのスクリプトの一覧を維持し、各スクリプトが必要な理由をビジネス上または技術上の根拠とともに文書化します。
要件11.6.1 – 変更および改ざんを検知するメカニズムを、以下のとおり導入します。
- 利用者のブラウザーが受信した、セキュリティに影響するHTTPヘッダーおよび決済ページのスクリプト内容に対する不正な変更（侵害の痕跡、変更、追加、削除を含む）について、担当者に警告する。
- このメカニズムは、受信したHTTPヘッダーと決済ページを評価するように構成されています。
これらの新たな要件は、クライアント側スクリプトが今やPCIの攻撃対象領域における重要な要素であるという基本的な事実を踏まえたものです。しかし、多くの組織にとって、これらの要件への対応には運用面および技術面の課題があります。特に、JavaScriptエコシステムは動的に変化し、サードパーティサービスにも依存しているためです。
可視性のギャップを解消
従来のWebアプリケーションファイアウォール（WAF）、セキュリティ情報およびイベント管理（SIEM）ソリューション、エンドポイントツールは、サーバーまたはネットワーク境界で動作します。そのため、最終的な実行環境であるユーザーのブラウザを可視化できません。侵害されたタグマネージャーやCDN、サードパーティのサプライチェーン攻撃などを通じて悪意のあるコードが挿入されると、サーバー側のツールでは侵害をまったく検知できないことが少なくありません。そこで、F5 Distributed Cloud Client-Side Defenseが力を発揮します。
サーバー側のツールとは異なり、Distributed Cloud Client-Side Defenseはブラウザ内で動作し、悪意のある挙動をリアルタイムで監視して、整合性を検証し、検知時にアラートを発します。また最近では、PCI DSS v4.0.1の要件6.4.3および11.6.1に記載された脅威への対処に特化するよう、本サービスを更新しました。
F5 Distributed Cloud Client-Side Defenseは、PCI DSS v4.0.1に規定されたクライアントサイドの要件に対応するために特別に設計されています。
具体的には、次のように役立ちます。
- スクリプトのインベントリと承認：Distributed Cloud Client-Side Defenseは、決済ページで実行されるすべてのスクリプト（ファーストパーティおよびサードパーティ）を継続的に追跡し、そのインベントリを維持します。組織は、書面による根拠を添えたスクリプトの許可リストを作成し、新規または未承認のスクリプトが検出された場合にアラートを受け取ることができるため、6.4.3への準拠を示すのに役立ちます。
- スクリプトの整合性検証： Distributed Cloud Client-Side Defenseは、Webアプリケーションのランタイムに計測機能を組み込み、予期しない動作や悪意のある可能性がある動作を示す重大な挙動の変化、特に新たなネットワークリクエストやデータアクセスを監視することで、スクリプトの整合性を検証します。
- ・スクリプトおよびセキュリティに影響するHTTPヘッダーの監視: Distributed Cloud Client-Side Defenseは、スクリプトおよびセキュリティに影響するHTTPヘッダーに不正な変更がないか定期的に検査し、変更を検出した場合はアラートを発して、組織が11.6.1への準拠を示せるよう支援します。
- データ流出の検知：高度な脅威モデルが送信リクエストを監視し、データ流出の兆候を検知します。スクリプトが取得したフォームデータを不審なエンドポイントに送信しようとすると、アラートが生成されます。組織は、ネットワーク呼び出しやフォームフィールドの読み取りをブロックするための直接的な緩和措置を講じることができます。
- エンタープライズ向けのアラートとレポート：セキュリティチームとコンプライアンスチームは、スクリプトの動作、ドメイン間の関係、ブラウザ側のデータフローに関する詳細なテレメトリを取得できます。PCI監査証跡やフォレンジック調査に最適です。
コンプライアンスからレジリエンスへ
ブラウザベースの脅威が従来の防御策を上回るペースで進化し続ける中、単にコンプライアンス要件を満たすだけでは不十分です。組織は、エンドユーザーエクスペリエンスで実際に何が起きているかを可視化するとともに、将来の脅威に対するレジリエンスを強化できるセキュリティ制御を導入する必要があります。F5 Distributed Cloud Client-Side Defenseは、PCI DSS v4.0.1の新たな要件に緊密に対応しながら、フォームジャッキングやMagecartの脅威に先手を打つために必要なオブザーバビリティ、制御、自動化を提供します。
詳細については、F5 Distributed Cloud Client-Side DefenseのWebページをご覧ください。また、今年のRSA Conferenceに参加予定の方は、4月29日のセッション「Stronger Together: A Unified Approach to App Security and Delivery」にぜひご参加のうえ、ブースN-4335にもお立ち寄りください。
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。