「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

最初に留意事項です。
「MITB攻撃」と言われて「あぁ、アレのことね」と分かる方は最後まで読む必要ありません。
MITB攻撃を指す別の表現が「マンインザブラウザ攻撃」です。



「MITB攻撃」の「MITB」の部分は「Man In The Browser（マン・イン・ザ・ブラウザ）」の頭文字です。



man（マン）の意味は「男」とか「人間」です。
in（イン）の意味は「中に」です。
the（ザ）は定冠詞と呼ばれているやつです。
「その〇〇」とか言いたいときに「the 〇〇」と言ったりします。
browser（ブラウザ）はIT用語の「ブラウザ」です。
ホームページを見るときに使うソフトのことです。

何となく くっつけると

ブラウザの中に人がいるぜ！攻撃

となります。

以上が「MITB攻撃」の意味を知っている人向けの説明です。

「MITB攻撃って何？美味しいの？」な人は、このまま読み進めてください。
用語の中身について説明します。



それでは、いってみましょう。
まずは予備知識として

・コンピュータウイルス（マルウェア）
・Webブラウザ
・ホームページが表示される流れ

について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

コンピュータウイルスは「コンピュータに入り込んで悪さをするプログラム」です。
コンピュータウイルスに感染したコンピュータさんは体調が悪くなったりします。
コンピュータさんにとっては風邪のウイルスのような存在ですね。



マルウェアは「昔は『コンピュータウイルス』と呼ばれていた悪いプログラムの最近の呼び名」です。



昔は悪いプログラム全般を指して「コンピュータウイルス」と呼んでいました。
それが、いつの頃からか悪さの内容によって呼び分けるようになったのです。

最近では悪いことをするプログラム全般を指して「マルウェア」と呼ぶことが多いです。
マルウェアの分類として

・コンピュータウイルス：コンピュータをぶっ壊す系の悪いことをするプログラム
・スパイウェア：コンピュータの中にある情報をパクって、どこかに送るプログラム
・ランサムウェア：データとかを人質に取って身代金を要求してくるプログラム

などの細かい分類があるイメージです。



とはいえ、細かい区別を気にする必要は ありません。
説明している人によって「コンピュータウイルス」と表現していたり「マルウェア」と表現していたりすると思いますが、どちらも意図するところは

人のコンピュータに入り込んで悪さをするプログラム

です。
※このページではマルウェアを意図して「コンピュータウイルス」という表現を使います。専門外の方が読んだときに一番イメージしやすいと思うからです。こだわり派な人は適当に読み替えてください。

Webブラウザは「ホームページを見るときに使うソフト」です。
Google Chrome（グーグルクローム）やMicrosoft Edge（マイクロソフトエッジ）など、Webブラウザに分類されるソフトは、いろいろ あります。



ホームページが表示される流れは以下の通りです。

あなたがホームページを見ようとすると、まず、Webブラウザからホームページのファイルが置いてあるコンピュータ（Webサーバ）に対して「このページをおくれ」と お願いが出されます。



そのお願いに対して、WebサーバさんからWebブラウザさんに「ほれ、そのページだよ」と お返事がきます。



お返事を受け取ったWebブラウザさんは、受け取った内容（ホームページのファイル）を画面上に表示してくれます。



これが、ホームページが表示されるときの流れです。

以上を踏まえて、本題に入ります。

まず、悪い人がパソコンにコンピュータウイルスを仕込みます。
このコンピュータウイルスは、Webブラウザを乗っ取って、好き勝手に操るやつです。



おっと、ピヨ太君がパソコンを使い始めました。
どうやら、インターネットバンキング（インターネットの世界にある銀行）を使って、ピヨ子さんに100円振り込もうとしているようです。



これに、ピヨ太君のパソコンに仕込まれたコンピュータウイルスさんが反応します。
ただし、この時点では何もしません。



ピヨ太君がインターネットバンキングにログイン（認証を受けて使える状態にすること）しました。
この時点でもコンピュータウイルスさんは何もしません。
息をひそめて、じっと待っています。



ついに、ピヨ太君が振り込みの操作をしました。
ピヨ太君は

金額：100円
振り込み先：ピヨ子さん

で振り込みの操作をします。



待ってました！
詳細の説明は省きますが、コンピュータウイルスさんはピヨ太君を騙して、振り込み内容を

金額：200円
振り込み先：アクマ君

に書き換えます。



そうすると、インターネットバンキングには

金額：200円
振り込み先：アクマ君

で振り込みの指示が届きます。



この振り込みの指示を受けて、インターネットバンキングから「振り込み内容は、これで良い？」の確認が来ました。
振り込み内容は

金額：200円
振り込み先：アクマ君

になっています。



コンピュータウイルスさんは、さらに頑張ります。
やっぱり詳細の説明は省きますが、確認の内容を

金額：100円
振り込み先：ピヨ子さん

に書き換えてピヨ太君に見せるのです。
Webブラウザを乗っ取っているからこそできる荒技ですね。



ピヨ太君は振り込み内容を確認します。



ふむ、問題なさそうですね。
ピヨ太君は「OKです。この内容で振り込んでください」な返事をインターネットバンキングに送ります。



コンピュータウイルスさんは、何もせずに見送ります。
すでに仕込みは終わっていますからね



ピヨ太君から振り込みOKの返事を受け取ったインターネットバンキングは
200円をアクマ君に振り込みます。



ピヨ太君は100円をピヨ子さんに振り込んだつもりでした。
ですが、実際には200円がアクマ君に振り込まれます。

このような

１．コンピュータウイルスを仕込んでWebブラウザを乗っ取る
２．インターネットでやり取りする内容を途中で捻じ曲げる
３．操作している人が意図していないことをやらせる

悪いことが「マンインザブラウザ攻撃」です。
上でも書きましたが「MITB攻撃」とも呼ばれます。

マンインザブラウザ攻撃の厄介なところは、攻撃されていることに気付きにくいことです。

先ほどのピヨ太君の例を思い出してください。
インターネットバンキングの立場からすると、おかしいことは特にありませんよね。
普通に振り込みの指示が来て、普通に振り込み処理をしただけです。



マンインザブラウザ攻撃は悪いことがパソコン側で完結します。
そのため、サービス提供側からすると普通にサービスを利用されているだけに見えてしまうのです。

とはいえ、実際には、あれやこれやの対策がされていたりしますけどね。
そこら辺の「あれやこれや」については他のところで勉強してください。