APセキュリティ · 情報セキュリティ

クリプトジャッキング

Cryptojacking

くりぷとじゃっきんぐ

他人のコンピュータの計算資源を無断で使い、暗号資産の採掘（マイニング）を行わせる行為。Webページに埋め込んだスクリプトやマルウェアで実行され、直接の情報被害はないが処理性能の低下や電力消費の増大を招く。

共有:

他の資格での定義

他人のコンピュータのCPUやメモリなどの計算資源を無断で使用して暗号資産（仮想通貨）のマイニングを行う攻撃。Webサイトやマルウェアを通じて実行される。

他人のコンピュータ資源を無断で使って暗号資産のマイニングを行わせる攻撃。Webページに埋め込んだスクリプトやマルウェアで実行され、CPU使用率の上昇や電力消費の増加として現れる。

Past Exams

過去問で 6 回出題（情報処理安全確保支援士試験 3・ITパスポート試験 1・応用情報技術者試験 1・システム監査技術者試験 1）。うち 4 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

金融機関やECサイトなど信頼できる組織を装った偽のメールやWebサイトでユーザーを誘導し、IDやパスワード、クレジットカード番号などの個人情報を詐取する攻撃手法。スミッシング（SMSを利用）やスピアフィッシング（標的型）もある。

Webアプリケーションの入力値にSQL文の断片を挿入し、意図しないSQL文をデータベースに実行させる攻撃手法。データの不正取得、改ざん、削除が可能になる。プレースホルダ（バインド変数）の使用やエスケープ処理が主な対策。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込み、閲覧者のブラウザ上で実行させる攻撃手法。XSSと略され、Cookie窃取やセッションハイジャックに悪用される。入力値のサニタイジング（エスケープ処理）が主な対策。

大量のリクエストや不正なパケットを送りつけ、サーバやネットワークのリソースを枯渇させてサービスを停止に追い込む攻撃。複数の踏み台から同時に攻撃するDDoS（Distributed DoS）攻撃はさらに防御が困難。

通信を行う2者の間に攻撃者が割り込み、通信内容の盗聴や改ざんを行う攻撃手法。MITM攻撃とも呼ばれ、暗号化されていない通信や、証明書の検証が不十分な環境で成立する。TLS/SSLの適切な運用やサーバ証明書の検証が対策。

特定の組織を標的として、高度な技術を用いて長期間にわたり執拗に攻撃を継続する脅威。初期侵入、権限昇格、内部偵察、情報窃取と段階的に進行する。標的型メール攻撃が侵入の起点になることが多く、多層防御と監視の強化が対策。