読み：くろすさいとすくりぷてぃんぐ ／ 分野：IT・システム
Webサイトの脆弱性を悪用し、悪意あるスクリプトを他の利用者のブラウザで実行させる攻撃手法です。
クロスサイトスクリプティング（XSS）とは、Webサイトの入力フォームや掲示板などの脆弱性を突いて、悪意あるスクリプト（プログラムの断片）をページに埋め込み、それを閲覧した利用者のブラウザ上で実行させる攻撃です。攻撃者はサイト運営者ではなく、サイトを訪れた第三者の利用者を標的にします。
意味
多くのWebサイトは、利用者が入力した内容（コメント、検索語、問い合わせ内容など）をそのままページに表示する仕組みを持っています。このとき、入力内容を単なる文字として扱わず、プログラムとして解釈してしまう不備があると、攻撃者はスクリプトを紛れ込ませることができます。そのスクリプトを含むページを別の利用者が開くと、利用者のブラウザ上で攻撃者の仕込んだ処理が実行されます。結果として、Cookie（サイトがブラウザに保存する小さなデータ）の盗み取り、ログイン状態の乗っ取り、偽の入力画面の表示による情報の詐取などが起こり得ます。サイトの見た目は正常なままのことが多く、利用者も運営者も気づきにくい点が厄介です。
使われる場面と具体例
- ECサイトの運営者が、商品レビュー欄の入力チェックが甘いために、第三者が悪意あるスクリプトを投稿し、閲覧者の情報が盗まれる被害が起きる場合があります。
- 問い合わせフォームや会員制サイトの掲示板で、入力内容がそのまま画面に表示される設計だと、攻撃の足がかりにされることがあります。
- セキュリティ診断を行う技術者が、サイト公開前にXSSの脆弱性がないかを専用のツールや手順で検査し、修正点を洗い出す場合に使われます。
中小企業が押さえたい点
- 自社サイトやシステムの開発を外部に委託する際は、入力値のチェックや出力時の無害化（エスケープ処理）が標準で組み込まれているかを確認します。
- CMS（コンテンツ管理システム）やプラグインを利用している場合、更新を怠ると既知の脆弱性が放置されるため、定期的な更新管理が欠かせません。
- 診断ツールや外部のセキュリティ診断サービスを利用し、公開前後に脆弱性の有無を確認する体制を持つことが望まれます。
- 被害が発生した場合に備え、ログの保存や異常検知の仕組み、委託先との責任分担を契約時に確認しておくことが重要です。
よくある誤解
- 「サイト運営者だけが被害を受ける」と思われがちですが、実際の被害者はサイトを閲覧した利用者であることが多い攻撃です。
- 「有名企業や大規模サイトだけが狙われる」と考えられがちですが、入力フォームを持つ小規模なサイトでも脆弱性があれば標的になります。
よくある質問
Q. XSSとSQLインジェクションは同じものですか。
A. 異なります。XSSは利用者のブラウザでスクリプトを実行させる攻撃で、SQLインジェクションはデータベースを不正に操作する攻撃です。
Q. 自社サイトがXSSの脆弱性を持っているか、どう確認すればよいですか。
A. 専門の診断ツールやセキュリティ診断サービスを利用して検査する方法が一般的です。開発を委託している場合は委託先に確認を依頼します。
Q. 対策はサイト運営者だけが行えばよいのですか。
A. 基本的な対策は開発・運用側の責任ですが、利用者側も不審なリンクを開かない、ブラウザやアプリを最新に保つといった注意が被害の軽減につながります。
関連する用語
関連記事
ほかの用語を探す
