インターネットを利用してデータのやり取りを行う際、その通信経路上に第三者が潜り込み、情報を盗み見たり改ざんしたりする脅威が存在します。
かつては「中間者攻撃（Man-in-the-Middle Attack）」と呼ばれていましたが、現在はより実態に即した「オンパス攻撃（On-Path Attack）」という名称が一般的になりつつあります。
この攻撃は、ユーザーが気づかないうちに通信の当事者になりすますため、非常に発見が難しく、重大な情報漏洩に繋がる危険性を秘めています。
本記事では、オンパス攻撃の基本的な仕組みから具体的な手法、そして被害を防ぐための実戦的な対策までを詳しく解説します。
オンパス攻撃とは何か
オンパス攻撃とは、二者間の通信経路（パス）の途中に攻撃者が入り込み、やり取りされるデータを傍受したり、内容を書き換えたりする攻撃手法のことです。
攻撃者は通信の送信元と送信先の間に位置することで、あたかも正規の通信相手であるかのように振る舞います。
この攻撃の恐ろしい点は、「送信者も受信者も、間に誰かが介入していることに気づきにくい」という性質にあります。
インターネット上のやり取りは、多くのルーターやサーバーを経由して行われますが、その経路のどこかに「透明な壁」のように攻撃者が存在しているイメージです。
従来、この手法は「中間者攻撃（MITM）」と称されてきましたが、近年は「Man-in-the-Middle」という表現を避け、より技術的に正確な「オンパス（On-Path）」という用語が推奨されています。
オンパス攻撃の目的
オンパス攻撃の主な目的は、機密情報の窃取です。
例えば、ネットバンキングのログイン情報、クレジットカード番号、個人のプライベートなメッセージなどが標的となります。
また、情報の盗聴だけでなく、データの改ざんを目的に行われることもあります。
送信された振込先口座番号を攻撃者のものに書き換えるといった、直接的な金銭被害を狙うケースも少なくありません。
オンパス攻撃が成立する仕組み
オンパス攻撃がどのように成立するのか、その基本的な流れを理解することは、防御策を講じる上で非常に重要です。
通常、クライアント（PCやスマートフォン）とサーバーは直接、あるいは信頼された経路を通じて通信を行います。
しかし、オンパス攻撃が発生している状態では、通信のパケットが一度攻撃者のデバイスを経由するようになります。
通信の横取り（インターセプト）
攻撃者は、何らかの手法を用いてネットワーク上のトラフィックを自分の方へ誘導します。
これにより、クライアントがサーバーへ送ったデータは、まず攻撃者のもとに届きます。
攻撃者はその内容をコピーした上で、本来の宛先であるサーバーへ何食わぬ顔でデータを転送します。
通信のなりすまし（インパーソネーション）
サーバーからのレスポンスも同様に、一度攻撃者を経由してクライアントに届けられます。
このとき、攻撃者はクライアントに対しては「正規のサーバー」として振る舞い、サーバーに対しては「正規のクライアント」として振る舞います。
この二重のなりすましによって、通信の当事者たちは異常に気づくことなく、機密情報を攻撃者に差し出してしまうことになります。
オンパス攻撃の主な手法
オンパス攻撃を実現するためには、ネットワークの隙を突く様々な技術が用いられます。
代表的な手法をいくつか挙げ、それぞれの特徴を解説します。
ARPスプーフィング
ローカルエリアネットワーク（LAN）内で頻繁に用いられる手法が、ARPスプーフィングです。
ARP（Address Resolution Protocol）とは、IPアドレスから物理的なMACアドレスを特定するためのプロトコルです。
攻撃者は偽のARP応答をネットワーク内に流し、他のデバイスに対して「自分がルーターである」と誤認させます。
これにより、同じLANに接続しているユーザーの通信がすべて攻撃者のPCを経由するようになります。
DNSスプーフィング
DNSスプーフィングは、ドメイン名とIPアドレスを紐付けるDNS（Domain Name System）の仕組みを悪用します。
攻撃者がDNSサーバーのキャッシュを書き換えたり、偽の応答を送り込んだりすることで、ユーザーを偽のWebサイトへと誘導します。
ユーザーが正しいURLを入力したとしても、ネットワークの内部で攻撃者が用意したフィッシングサイトのIPアドレスへと書き換えられてしまうため、視覚的に見破るのは困難です。
DHCPスプーフィング
DHCPスプーフィングは、ネットワーク接続時に自動で設定情報を割り当てるDHCPサーバーになりすます手法です。
攻撃者は偽のDHCPサーバーを稼働させ、ターゲットに対して「自分のデバイスをデフォルトゲートウェイ（外部への出口）」として設定させます。
これにより、ターゲットの外部への通信をすべて掌握することが可能になります。
SSL/TLSストリッピング
SSL/TLSストリッピングは、暗号化通信（HTTPS）を強制的に解除し、平文（HTTP）での通信に格下げさせる攻撃です。
ブラウザとWebサーバーの間で暗号化のネゴシエーションが行われる際に、攻撃者が介入して「暗号化は不要である」と偽の情報を伝えます。
ユーザーの画面上では南京錠のアイコンが消えるなどの変化がありますが、注意深く確認していないと気づかずに個人情報を入力してしまう恐れがあります。
不正なWi-Fiアクセスポイント（悪魔の双子攻撃）
公共の場などで、正規のフリーWi-Fiと同じ名前（SSID）を持つ偽のアクセスポイントを設置する手法です。
ユーザーが誤ってこの不正なWi-Fiに接続すると、その通信内容はすべて設置者である攻撃者に筒抜けとなります。
オンパス攻撃による具体的な被害
オンパス攻撃を受けると、企業や個人にとって取り返しのつかない被害が生じる可能性があります。
具体的にどのようなリスクがあるのか、主要な被害例を確認しておきましょう。
| 被害の種類 | 具体的な内容 |
|---|---|
| 資格情報の窃取 | IDやパスワードを盗み、アカウントを乗っ取る |
| セッションハイジャック | ログイン済みのセッション情報を盗み、本人になりすまして操作する |
| 情報の改ざん | 送金データや契約内容を書き換え、不正な利益を得る |
| マルウェアの注入 | ダウンロード中のファイルにウイルスを混入させ、感染させる |
オンパス攻撃を防ぐための対策
オンパス攻撃は非常に巧妙ですが、適切な技術的対策と運用の見直しによって防ぐことが可能です。
ここでは、システム管理者および一般ユーザーが実施すべき対策について詳述します。
常時SSL化（HTTPS）の徹底
最も基本的かつ強力な対策は、すべての通信をSSL/TLSによって暗号化することです。
たとえ通信が傍受されたとしても、内容が高度に暗号化されていれば、攻撃者が中身を解読することは事実上不可能です。
Webサイト運営者は、必ず有効な証明書を導入し、常時HTTPS化を適用しなければなりません。
HSTS（HTTP Strict Transport Security）の導入
HSTSは、ブラウザに対して「常にHTTPSで通信すること」を強制する仕組みです。
これにより、前述した「SSLストリッピング」のような、暗号化を解除しようとする攻撃を未然に防ぐことができます。
サーバーの設定でHSTSヘッダーを送信するように構成することで、セキュリティレベルを格段に向上させられます。
VPN（Virtual Private Network）の利用
公共のWi-Fiを利用する場合や、安全性が不明なネットワークから社内リソースにアクセスする場合は、VPNの利用が推奨されます。
VPNは通信経路全体をカプセル化し、専用の暗号化トンネルを作成します。
これにより、ネットワーク上の第三者が通信の内容を覗き見ることはできなくなります。
二要素認証（2FA）/ 多要素認証（MFA）の有効化
万が一、オンパス攻撃によってIDやパスワードが盗まれたとしても、多要素認証が設定されていれば、アカウントへの不正ログインを阻止できます。
スマートフォンのアプリやSMSによる認証コードが必要となるため、パスワード情報だけでは突破できないからです。
DNSSECの活用
DNS情報の正当性を担保するために、DNSSEC（DNS Security Extensions）を導入することも有効です。
デジタル署名を利用することで、DNS応答が改ざんされていないことを保証し、DNSスプーフィングのリスクを低減します。
ネットワーク機器のセキュリティ設定
企業内ネットワークにおいては、スイッチやルーターの設定を最適化することが重要です。
例えば、「ダイナミックARPインスペクション（DAI）」機能を有効にすることで、不正なARPパケットを遮断し、ARPスプーフィングを防ぐことができます。
オンパス攻撃を見分けるためのヒント
技術的な対策以外にも、ユーザーが日常的に注意を払うことで被害を回避できる場合があります。
まず、ブラウザのアドレスバーに表示される「鍵マーク」に異常がないかを確認する習慣をつけましょう。
「保護されていない通信」といった警告が表示された場合や、証明書のエラーが出た場合は、直ちに利用を中止すべきです。
また、普段利用しているWebサイトの挙動が極端に遅かったり、デザインに違和感があったりする場合も注意が必要です。
不自然なリダイレクトが繰り返される場合などは、通信経路に何らかの介入が行われている可能性を疑ってください。
オンパス攻撃とエンドツーエンド暗号化（E2EE）
近年、オンパス攻撃への究極の対抗策として注目されているのが、エンドツーエンド暗号化（E2EE）です。
E2EEは、通信の送信元デバイスでデータを暗号化し、宛先のデバイスに届くまで誰にも（サービス提供者ですら）解読できない状態で転送する技術です。
メッセージングアプリなどで広く採用されており、中間に位置する攻撃者がデータを奪取したとしても、中身を見ることは不可能です。
セキュリティ要件が高い通信においては、E2EEに対応したプロトコルやサービスを選択することが賢明です。
ゼロトラスト・アーキテクチャの重要性
ネットワークの「内側」は安全であるという前提を捨てる「ゼロトラスト」の考え方も、オンパス攻撃対策として有効です。
「決して信頼せず、常に検証する」という原則に基づき、あらゆる通信を監視し、認証を行うことで、内部ネットワークに潜り込んだ攻撃者の活動を封じ込めます。
オンパス攻撃の多くは信頼関係を悪用するため、ゼロトラスト環境下ではその効果が大きく減退します。
まとめ
オンパス攻撃（旧・中間者攻撃）は、ネットワーク通信の隙間を巧妙に突く、極めて危険な攻撃手法です。
ARPスプーフィングやDNSスプーフィングといった技術を駆使し、攻撃者は私たちの気づかないところで情報を盗み取ろうとしています。
しかし、常時SSL化の徹底、VPNの活用、多要素認証の導入といった複数の防御策を組み合わせることで、その脅威を最小限に抑えることが可能です。
ネットワーク技術は常に進化していますが、それと同時に攻撃者の手法も巧妙化しています。
「通信経路は常に狙われている」という意識を持ち、正しい知識に基づいた対策を継続することが、デジタル社会における安全を守るための第一歩となります。
