クロスサイトリクエストフォージェリ（CSRF）とは？企業担当者が知っておくべきリスクと対策

「自社サイトのお問い合わせフォームや会員ページは安全だろうか」

「セキュリティ用語で聞く『CSRF』って、XSSと何が違うの？」

Webサイトで会員登録やログイン機能を備えたり、オンラインで各種申請を受け付けたりする企業が増える一方、ユーザーの「なりすまし」を狙ったサイバー攻撃のリスクも高まっています。

その代表的な攻撃手法であり、担当者が知っておくべき脆弱性が「クロスサイトリクエストフォージェリ（CSRF）」です。

CSRFは、ユーザー本人が気づかないうちに、ブラウザを通じて勝手にWebサイトへ「操作のリクエスト（要求）」を送らせる攻撃です。

本記事では、企業担当者様向けに、CSRFのリスクや被害事例、XSSとの違い、そして「自社サイトを守るために明日から何をすべきか」をわかりやすく解説します。

1. 3分でわかる「クロスサイトリクエストフォージェリ（CSRF）」とは？

CSRF（Cross-Site Request Forgery）とは、攻撃者が用意した罠（悪意のあるサイトやメールのリンク）をユーザーに踏ませることで、「ログイン中のWebサイトで、ユーザー自身の権限を使って勝手に意図しない操作（注文、変更、投稿など）を実行させる攻撃」です。

「フォージェリ（Forgery）」には「偽造」という意味があり、ユーザーの代わりに偽のリクエスト（操作指示）をWebサイトへ送信させることからこの名前がついています。

たとえば、あなたが普段使っているECサイトや社内システムにログインしたまま、別の怪しいWebサイトを開いてしまったとします。

そのサイトに仕組まれた罠によって、バックグラウンドでECサイトへ「パスワード変更」や「高額商品の購入」という指示が勝手に送られてしまう——これがCSRFの典型的な怖さです。

Webサーバー側からは「正当にログインしている本人からの正しい操作」に見えてしまうため、攻撃を防ぎにくく、被害に遭ったユーザーも「自分が操作した」ことに気づきにくいのが特徴です。

セキュリティ対策で必ずセットで出てくる「XSS（クロスサイトスクリプティング）」と「CSRF（クロスサイトリクエストフォージェリ）」。

混同されがちですが、企業担当者としては以下の違いを押さえておけば十分です。

項目	XSS（クロスサイトスクリプティング）	CSRF（クロスサイトリクエストフォージェリ）
攻撃の狙い	悪意のあるプログラム（JavaScript）を実行させる	本人になりすまして「操作の指示」を送らせる
主な被害	画面の偽装、個人情報の盗聴、Cookieの強奪	パスワード変更、勝手な退会、不正な購入や書き込み
たとえ	サイト内に「毒（悪質なプログラム）」を仕込む	ユーザーに「勝手な契約書にハンコを押させる」

どちらも自社サイトの利用者や顧客に直接被害を及ぼす点では共通していますが、CSRFは特に「状態が変わる操作（登録・変更・削除・購入）」を行うページで発生します。

もし自社が運営するWebサイト（会員ページや問い合わせシステムなど）にCSRFの穴があると、以下のような重大な被害が発生する可能性があります。

ログインパスワードやメールアドレスの強制変更：ユーザーの知らないうちにアカウント情報が書き換えられ、アカウントを乗っ取られます。
不正な商品の購入や課金：ログイン状態を利用して、勝手に高額な注文や決済処理を行われてしまいます。
掲示板やSNSへの不正投稿・掲示：ユーザーの名義を使って、犯罪予告や誹謗中傷などの書き込みを勝手に投稿させられます（過去には警察が出動する事件に発展した例もあります）。
退会手続きの強行：ユーザーのデータを勝手に削除・退会させられてしまいます。

結果として、自社サイトは「勝手に不正操作をされてしまう危険なサイト」として評価が失墜し、顧客対応や返金対応、信頼回復に向けた多大なコストが発生してしまいます。