CSRF(사이트 간 요청 위조)

정의

로그인된 상태를 이용해 사용자 모르게 요청을 대신 보내는 공격.

자세한 설명

CSRF는 사용자가 이미 로그인해 둔 사이트에, 사용자가 모르는 사이 다른 페이지를 통해 비밀번호 변경이나 결제 같은 요청을 몰래 대신 보내는 공격입니다. 사용자는 클릭 한 번만 했을 뿐인데 뒤에서 원치 않는 작업이 실행됩니다.

은행 사이트나 관리자 페이지에 로그인한 채로 다른 수상한 링크를 눌렀을 때 일어나기 쉽습니다. 중요한 작업마다 다시 한 번 확인하는 절차를 두는 것이 효과적인 방어입니다.

예를 들면

관리자 계정으로 로그인한 상태에서 수상한 링크를 눌렀다가 모르게 설정이 바뀐 사례가 있습니다.

관련 용어