オンライン小売業者およびeコマース事業者の皆さまにお知らせです。デジタルスキミングやMagecart攻撃からクライアント側のデータとオンライン決済を保護する、新たな切り札が登場しました。
2022年3月、Payment Card Industry（PCI）Security Standards Councilは、加盟店がカード会員データを保存、処理、送信する際に満たすべき最低限のセキュリティ要件を定めた「Data Security Standard, PCI DSS v4.0」の改訂版を公開しました。改訂された要件には、オンライン商取引において消費者、企業、カード発行会社を保護し、安全でセキュアなオンライン取引を確保するためのさまざまな強化策が盛り込まれています。
新しい要件では、決済処理用iFrame、チャットボット、広告、ソーシャル共有ボタン、トラッキングスクリプトなど、すぐに利用できる機能を提供するためにeコマースWebサイトに組み込まれる、ブラウザベースのサードパーティJavaScriptライブラリを監視・管理する必要性が重視されています。これらのJavaScriptライブラリは、企業によるWebサイト開発の迅速化に役立つ一方、サイバー犯罪者に広範な攻撃経路をもたらします。これらのスクリプトは、デジタルスキミングやMagecart攻撃によって容易に侵害され、認証情報、クレジットカード情報、その他の個人を特定できる情報（PII）の窃取に悪用される可能性があるためです。
こうした侵害は、詐欺被害に遭った消費者に明らかな損害をもたらすだけでなく、コンプライアンス違反、収益の損失、株価の下落、ソーシャルメディア上での批判的なレビュー、ブランド価値の毀損につながる可能性があり、ビジネスにも悪影響を及ぼします。
新しいPCI DSS 4.0要件への準拠が義務付けられるのは2025年からですが、それまで待つべきではありません。これらの要件が対象とする種類の攻撃は、すでに発生しています。強化された保護対策をできるだけ早く導入し、攻撃や不正行為から企業の評判とお客さまを守るべき時です。
クライアントサイド攻撃にはどのような危険がありますか？
少し前まで、商用Webアプリケーションは、オンプレミスのWebサーバーから配信されるモノリシックなコードとして構築されていました。しかし、現在のモダンWebアプリケーションは大きく異なり、多くの場合、サードパーティのJavaScriptライブラリを組み合わせて設計され、処理の大部分はクライアント側、つまり利用者のブラウザ内で実行されます。一般的なWebページの70%～80%はサードパーティのライブラリで構成されていると推定され、そのスクリプトの一部には、さらに別のサードパーティスクリプトのコードが含まれています。このようにコードの依存関係が長く連なることで、企業は自社のWebサイトで実際に実行されているコードを十分に把握、制御できなくなっています。
脅威アクターは、こうした多層的なサードパーティ依存関係が広範かつ大規模に及ぶため、組織が自社環境で実行されるコードを適切に管理、追跡、保護することが難しく、コードの変更や悪用さえ検知できない状況にあることを認識しています。この可視性の欠如に乗じて、サイバー犯罪者は正規のWebページやWebアプリケーションのコードに悪意のあるスクリプトを挿入し、ユーザーセッションを傍受、操作、乗っ取る攻撃を仕掛けます。これにより、個人データや決済情報の窃取、Webサイトの制御や改ざん、偽コンテンツの表示、新たなフォームの作成、正規フォームの改変が可能になり、いずれも詐欺やアカウント乗っ取りにつながるおそれがあります。
PCI DSS v4.0の要件
改訂された基準では、オンライン決済を受け付けるすべての事業者にとって、クライアントサイドのWebセキュリティ強化が不可欠であると明記されています。また、消費者のブラウザで読み込まれ、実行されるすべての決済ページスクリプトを包括的に管理することが義務付けられています。具体的には、新しい要件6.4.3により、eコマース事業者には以下の実装が求められます。
- 各スクリプトが承認済みであることを確認する方法
- 各スクリプトの完全性を保証する方法
- すべてのスクリプトの一覧と、各スクリプトが必要な理由を記載した文書
新しい基準では、加盟店はポリシーと手順を精査し、消費者のブラウザーに読み込まれて実行されるすべての決済ページスクリプトを管理するためのプロセスが定義されていることを確認する必要があります。また、担当者への聞き取りを行い、インベントリ記録とシステム構成を精査して、消費者のブラウザーに読み込まれて実行されるすべての決済ページスクリプトが、この要件で規定されているすべての項目に従って管理されていることを確認する必要があります。
さらに、改訂版の基準のセクション11.6では、決済ページに対する不正な変更を検知し、対応することが求められています。そのため、消費者のブラウザが受信したHTTPヘッダーおよび決済ページのコンテンツに不正な変更が加えられた場合に、担当者へ警告する変更・改ざん検知メカニズムが必要です。構成設定は、少なくとも7日に1回、または組織のリスク分析評価で定めた頻度で確認する必要があります。
手作業や従来型のソリューションでこれらの要件に準拠するには、多大なコストとリソースが必要です。決済フォームのスクリプトはクライアント側で実行されるため、加盟店はその動作を十分に把握できず、悪意のあるコードが検知を逃れやすくなります。また、決済処理、Cookie同意フォーム、チャットボット、広告トラッカーなどのWebページ機能を動作させる動的JavaScriptライブラリをはじめとするサードパーティコードは、加盟店が把握しないまま頻繁に更新・変更されることが多いため、加盟店による制御が困難です。
スクリプトが改ざんされていないことを確認するために整合性チェックを行うSub-Resource Integrity（SRI）や、ブラウザがスクリプトを読み込む場所とデータの送信先を制限するContent Security Policy（CSP）といった既存の検出手法だけでは、絶えず変化する今日のWebアプリケーションを保護するには、もはや十分ではありません。
PCI DSS v4.0への早期準拠を支援
PCI DSS v4.0で求められるセキュリティ要件への準拠を2025年まで待つ必要はありません。今すぐ対策を講じ、攻撃からビジネスを、詐欺やアカウント乗っ取りからお客さまを保護しましょう。
F5 Distributed Cloud Client-Side Defenseは、Webページ上の不審なコードの監視を自動化し、対処可能なアラートを生成するとともに、ワンクリックの緩和策でデータ流出を即座に阻止することで、新しいPCI DSS v4.0要件への対応と、Magecart、フォームジャッキング、デジタルスキミング、PII収集攻撃からの保護を直ちに支援します。
消費者からの信頼とブランドの評判を維持しながら、お客さまのプライバシーを保護し、コンプライアンス違反からビジネスを守る方法について詳しくは、ソリューション概要をご覧いただくか、製品デモをご視聴ください。
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。