クロスサイトスクリプティング (XSS)

クロスサイトスクリプティング（XSS）とは

「Cross Site Scripting」の略で（CSSと被るためXSSと表記されます）、Webサイトのセキュリティの隙（脆弱性）を突いたサイバー攻撃です。

例えば掲示板やSNSのように「ユーザーが書き込んだ内容がそのまま他の人の画面にも表示される」サイトで、ハッカーが「悪意のあるプログラムコード（JavaScriptなど）」を普通のコメントのフリをして書き込みます。そして、罠を知らずにそのページを見た一般ユーザーのパソコンの中で、勝手にその悪いプログラムが実行されてしまう攻撃です。

💡 例え話（どんな被害にあう？）

ハッカーが掲示板に、目に見えない罠（スクリプト）を設定します。 あなた（一般ユーザー）が「お、面白い掲示板だな」とページを開いた瞬間、裏側で勝手に以下のことが行われます。

• あなたの銀行のログイン情報（クッキーというデータ）が、ハッカーのサイトに隠れて自動送信される（ログインIDとパスワードが盗まれる）。
• 「私はバカです！」という恥ずかしいツイートを、あなたのTwitterアカウントで勝手に投稿させられる。

📌 サイト運営者側が防ぐ責任がある

この攻撃の恐ろしいのは、「正規の（普段使っている）サイトを見ているだけ」でユーザーが被害に遭うことです。そのため、Webシステムを作るエンジニアは、「入力欄に『<script>』などのプログラムを示す怪しい記号が入力されたら、絶対に発動しないように無効化（サニタイジング処理）する」という対策を行う義務があります。