ECサイト・決済フォームを狙うWebスキミング（Magecart）攻撃の活発化とSRI対策の緊急性

脆弱性・インシデントの概要

国内EC事業者や会員ポータルサイトにおいて、外部CDNやアクセス解析タグ、チャットボット等のサードパーティスクリプトが改ざんされ、ユーザーが入力したクレジットカード情報や個人情報が秘密裏に外部送信される『Webスキミング（Magecart）』インシデントが急増しています。国際セキュリティ基準『PCI DSS v4.0』でも外部スクリプトの改ざん保護が必須要件として義務付けられています。

影響を受ける対象システム・バージョン

推奨される是正対策・アクション

外部CDNスクリプトには必ずSRI（Subresource Integrity: integrity属性）を付与して改ざんコードの自動実行を防止し、CSPのconnect-srcディレクティブで外部送信先を厳格にホワイトリスト化してください。