第三者中継とは？ 10分でわかりやすく解説

UnsplashのAngeles Pérezが撮影した写真   

第三者中継とは、送信者と受信者の間に第三者が入り込み、通信を続けたまま内容を盗み見したり書き換えたりする状態です。セキュリティ分野では、もっとも近い標準用語として中間者攻撃やAiTM攻撃が使われます。

企業で問題になるのは、通信が表面上は成功して見える点です。認証情報、セッション情報、送金先、ダウンロード先が途中で盗まれたり差し替えられたりすると、情報漏えいだけでなく、不正送金や不正操作まで発展します。

第三者中継とは？

第三者中継の定義

第三者中継は、通信経路の途中に正規の当事者ではない第三者が介入し、傍受、改ざん、別の宛先への誘導を行う状態や攻撃を指す平易な言い方です。攻撃者は通信を止めるのではなく、当事者同士がやり取りできているように見せたまま中身へ介入します。

標準用語との関係

用語としては、第三者中継よりも中間者攻撃やAiTM攻撃の方が標準的です。中間者攻撃は通信の間に入り込む類型全体を指し、AiTM攻撃は認証やWebアクセスの中継に焦点を当てた表現として使われることが多くあります。

一方、リプレイ攻撃やセッションハイジャックは、第三者中継と組み合わさることはあっても、常に同義ではありません。どの攻撃が「途中へ入る」行為そのものなのか、どの攻撃が盗んだ情報の悪用なのかを分けて理解しておくと、対策の優先順位を付けやすくなります。

成立しやすい場面

• 同一ネットワーク内のすり替え：社内LANや公衆Wi-Fiで、ARPポイズニングや悪魔の双子攻撃によって通信の通り道を奪う場面です。
• 名前解決や経路の誘導：DNS応答やルーティング情報を悪用し、利用者を偽サイトや攻撃者の中継点へ向かわせる場面です。代表例としてDNSキャッシュポイズニングがあります。
• 中継機器や設定の侵害：プロキシ、ルーター、VPN装置、クラウド側の通信設定が侵害され、正規通信が攻撃者に観測・改ざんされる場面です。

第三者中継で起こる被害

• 認証情報の窃取：ID、パスワード、ワンタイムコード、認証トークン、Cookieが盗まれると、その後の不正操作が成立しやすくなります。
• 取引内容の改ざん：振込先、請求先URL、ダウンロード先、設定値が差し替えられると、業務担当者が正規画面だと思ったまま誤操作するおそれがあります。
• セッションの乗っ取り：ログイン後のセッション情報が奪われると、パスワード自体が漏れていなくても、正規利用者になりすました操作が成立する場合があります。
• マルウェア感染の起点化：更新ファイルや配布物の取得先が書き換えられると、利用者は正規更新だと思ったまま不正なファイルを受け取る可能性があります。

争点は、盗聴だけではありません。通信内容が改ざんされると、担当者の判断や業務処理そのものが攻撃者の意図した方向へ動かされます。

代表的な手口と関連手法

中間者攻撃（MITM）とAiTM攻撃

中間者攻撃は、攻撃者が送信者と受信者の間に入り込み、双方になりすまして通信を中継する手法です。暗号化されていない通信では内容をそのまま読めますし、暗号化通信でも証明書警告の無視、不正なルート証明書の混入、検証不備があると内容の傍受や改ざんが成立する余地が残ります。

AiTM攻撃は、その考え方を認証フローやWebセッションに強く寄せたものです。攻撃者がフィッシング基盤やリバースプロキシを使ってログイン処理を中継し、認証後のCookieやトークンを奪う形が代表例です。

名前解決・経路誘導を使う手口

名前解決や経路の誘導は、第三者中継を成立させる前段としてよく使われます。利用者が正しいURLを入力しても、攻撃者側のIPアドレスへ向かうように誘導できれば、その先で偽サイト表示や中継が可能になります。

DNSSECは、署名付きDNSデータの検証により、改ざんされた応答を見分けやすくする仕組みです。ただし、DNSSECだけで第三者中継全体を防ぎ切れるわけではなく、終端側の証明書検証やリゾルバ運用まで含めて見ておく必要があります。

リプレイ攻撃

リプレイ攻撃は、正規の通信を傍受して再送し、同じ要求をもう一度成立させようとする手法です。これは第三者中継そのものではなく、途中で観測した情報を再利用する関連手法として理解した方が正確です。

リクエストに一意な値が含まれていない場合や、短時間の再送を区別できない場合は、同じ操作が再実行されるおそれがあります。ノンス、タイムスタンプ、シーケンス番号、署名を組み合わせると再利用を成立しにくくできます。

セッションハイジャック

セッションハイジャックは、ログイン後に払い出されるセッションIDやトークンを盗み、正規ユーザーとして操作する手法です。第三者中継によってCookieやトークンを傍受できれば、その後の不正操作に直結します。

注意点は、パスワードが漏れていなくても成立し得ることです。したがって、ログイン保護だけでなく、セッションの寿命、発行後の監視、重要操作時の再認証まで含めて設計する必要があります。

第三者中継への対策

TLSを前提にし、証明書検証を省かない

Web、API、管理画面、拠点間通信を問わず、TLSによる暗号化を前提にし、平文通信を残さないことが出発点になります。ただし、暗号化だけでは足りません。通信相手の証明書を正しく検証できていなければ、中間者攻撃の余地が残ります。

確認対象は、有効期限、名前一致、証明書チェーン、失効確認、例外設定の有無です。ブラウザだけでなく、業務アプリ、APIクライアント、スクリプト、機器設定まで含めて見る必要があります。

多要素認証を導入し、方式差も踏まえる

多要素認証は不正ログインの難易度を上げますが、方式差を無視すると過信につながります。SMS認証や一般的なOTPアプリは広く使われていますが、AiTM攻撃で中継される余地が残ります。

フィッシング耐性を強く求めるなら、FIDO2のように検証先との結び付きが明確な方式を優先した方がずれにくくなります。加えて、重要操作ではステップアップ認証を求めると、セッション奪取後の被害範囲を抑えやすくなります。

セッション管理を厳しくする

CookieにSecure属性やHttpOnly属性を付ける、セッション寿命を短くする、端末属性やIP変化を監視する、重要画面では再認証を求める、といった対策はセッション悪用の抑止に効きます。ログインの防御だけで終わらせず、ログイン後の扱いまで見る姿勢が欠かせません。

DNSとネットワークの運用を固める

社内では利用するリゾルバを統一し、不要な設定変更を抑え、名前解決のログを追える状態にしておくと、DNS誘導系の兆候を捉えやすくなります。外出先利用が多い環境では、DoHの扱いも含めて、どの経路で名前解決させるかを運用として決めておく必要があります。

公衆Wi-Fiの利用が避けられない場合は、社内システムへの接続経路を限定し、業務端末側で不審な証明書警告を無視しない運用を徹底します。無線区間の安全性だけでなく、その先の認証基盤や中継機器まで確認対象に含める方が実態に合います。

監視と初動対応を整える

第三者中継は気づきにくいため、防ぐ対策と同時に、兆候に気づく仕組みも要ります。不審なDNS応答、想定外の証明書、地理的に不自然なログイン、急なセッション再発行、短時間の大量失敗などを監視対象に入れておくと、異常の切り分けを進めやすくなります。

あわせて、検知時に誰がセッション失効、パスワード変更、影響範囲確認、利用者連絡を行うかを決めておくと、セキュリティインシデント対応の速度が上がります。

企業で優先順位を付けるときの見方

• 認証基盤から確認する：外部公開のログイン画面、SSO、管理画面、VPN接続は優先度が高くなります。
• 改ざん時の被害が大きい操作を洗い出す：送金、承認、設定変更、更新配布は影響が広がりやすい処理です。
• 社外利用の多い端末を点検する：営業端末、役員端末、委託先端末、BYOD端末は経路が不安定になりやすく、確認漏れが出やすい対象です。
• 技術対策と運用対策を分けて持つ：TLS、MFA、DNS対策だけでなく、証明書警告への対応、紛失端末時の手順、セッション失効手順まで準備しておくと、実際の事故で迷いにくくなります。

まとめ

第三者中継は、通信の途中に第三者が入り込み、内容の盗み見、改ざん、偽サイトへの誘導を行う状態です。標準的な用語では中間者攻撃やAiTM攻撃が近く、リプレイ攻撃やセッションハイジャックはそれに関連して使われる別の手法として分けて考えると整理しやすくなります。

対策では、TLSの徹底、証明書検証、多要素認証の方式選定、セッション管理、DNS運用、監視と初動対応を組み合わせます。認証基盤や重要取引から順に確認していくと、被害を受けやすい箇所を先に絞れます。