はじめに
— 単なるスクリプト実行にとどまらない“連鎖的な被害”
XSS は「任意の JavaScript をユーザーのブラウザで実行できる」という、とても単純な脆弱性に見える。
しかし実際は、この “一行のスクリプト実行” が大規模な被害につながる入口 になることが多い。
ここでは、XSS が現実の攻撃でどのような被害を引き起こすのかを、代表的なケースとともに紹介する。
1. セッションハイジャック（Session Hijacking）
XSS では document.cookie を盗み取ることで、ユーザーの セッション ID が攻撃者の手に渡る。
盗んだセッション ID を攻撃者のブラウザにコピーするだけで、
そのユーザーのアカウントとしてログインできてしまう。
その結果：
- 不正ログイン
- 個人情報の閲覧
- パスワード変更
- 不正送金
- 管理者権限の悪用
など、被害は即座に深刻化する。
2. フィッシング & 認証情報の盗難
XSS はブラウザ上に任意の UI を表示できるため、
本物そっくりのログイン画面 を被害者に提示することができる。
例：
<div class="fake-dialog">
Please sign in again for security verification.
</div>
ユーザーは正規サイトだと思い込んでいるので、心理的抵抗がなく、攻撃者は簡単に：
- メールアドレス
- パスワード
- 2FA コード
- 秘密鍵・暗号資産ウォレット
などを盗むことができる。
※ 実際に暗号資産ウォレットの接続画面を偽装した XSS 事件も報告されている。
3. ソーシャルエンジニアリング
XSS は「信頼している Web サイトの中で」動くため、
ユーザーはブラウザが表示する情報を 全面的に信じてしまいやすい。
攻撃者はこの心理を利用して：
- 「あなたのアカウントが危険です。こちらをクリックしてください」
- 「新しい規約に同意してください」
- 「セキュリティ検証のためページに移動してください」
など、“もっともらしい詐欺メッセージ” を表示し、不正リンクへ誘導できる。
XSS は 技術攻撃と心理攻撃のハイブリッド化 を容易にする。
4. コンテンツ改ざん（Defacement）・信用失墜
攻撃者は DOM を自由に書き換えられるため、Web ページ自体を改ざんできる。
例：
- トップページに不適切な文章を表示
- 商品価格を偽装
- サービス停止メッセージを表示
- 悪意あるバナーを追加
- ニュースサイトの情報を改ざん
企業イメージに致命的なダメージを与えることも少なくない。
XSS は単なる攻撃ではなく、企業ブランドの信用を揺るがす脅威になり得る。
5. データ漏洩（Data Exfiltration）
XSS で動く JavaScript は、
ユーザーのブラウザに表示されている情報をそのまま読み取り、攻撃者に送信できる。
盗まれうるデータ：
- 個人情報
- 注文履歴
- 支払い情報
- チャットメッセージ
- 内部管理画面の内容
- JWT / API トークン（HttpOnly で守られていない場合）
バックエンド API を勝手に叩いてデータを吸い取る攻撃も可能。
“画面上に見えているもの＝すべて攻撃者が盗める可能性があるもの” と考えるべき。
6. マルウェア配布（Drive-by Download）
悪意のあるスクリプトを使えば、ユーザーに以下のような攻撃を自動で起こすことも可能：
- 悪意あるファイルの自動ダウンロード
- 不正プログラムの実行を促す UI の誘導
- エクスプロイトキットのロード
いわゆる drive-by download だ。
攻撃者は、脆弱性を持つブラウザやプラグインを狙って、ユーザーに気づかれないままマルウェアを感染させることができる。
まとめ：XSS は“入口の攻撃”だが、被害は無限に広がる
XSS が怖い理由は、被害が 単発ではなく連鎖する ことにある。
- セッション乗っ取り
- フィッシングによる認証情報盗難
- コンテンツ書き換え
- データ漏洩
- マルウェア配布
つまり XSS は、
「スクリプトが実行できる」
＝「Web アプリのすべてが攻撃者の自由になる」
という状態を作り出す。
Web アプリケーションのセキュリティ対策を考える上で、XSS の危険性は今でも無視できない。