MEDIUMブラウザ保護・HTTPSEC-ADVISORY-2026公表日: 2026年10月05日 13:00 JST
公衆回線におけるSSL Strip型ダウングレード攻撃とHSTSヘッダー設定の重要性
● OFFICIAL REFERENCE SOURCE / 一次情報源
元ソース（公式発表）を見るIPA 情報処理推進機構 セキュリティセンター
脆弱性・インシデントの概要
ホテルやカフェ等のフリーWi-Fi環境において、暗号化通信を強制するHSTS（HTTP Strict Transport Security）ヘッダーが設定されていないWebサイトに対して、通信を平文HTTPへダウングレードさせるSSL Strip攻撃のリスクが依然として報告されています。
想定される事業・セキュリティ影響
Cookieセッション情報やログインID・パスワードなどの認証情報が第三者に傍受・盗聴される危険性があります。
影響を受ける対象システム・バージョン
HTTPからHTTPSへの301リダイレクトのみで、Strict-Transport-Security レスポンスヘッダーが未付与のWebサイト
推奨される是正対策・アクション
Webサーバー設定にて Strict-Transport-Security: max-age=31536000; includeSubDomains を付与し、ブラウザ側で常にHTTPSを強制する設定を行ってください。
自社Webサイトにも同様のセキュリティ不備はありませんか？
HACHI（蜂）は攻撃者の偵察視点から、SSL/TLS設定・HTTPヘッダー・SPF/DMARCなどの潜在リスクを非侵入・即時で無料診断します。
自社サイトを無料で即時診断する→