CSRF（クロスサイト・リクエスト・フォージェリ）

Webサイトが、届いたリクエストを利用者本人が意図して送ったものかを確かめていないと、利用者が罠のページを開いただけで、ログイン中のサイトに対して送金・購入・退会・設定の変更などのリクエストが送られてしまいます。IPA（情報処理推進機構）の「安全なウェブサイトの作り方」では、Cookieによるセッション管理やBasic認証を使うサイトで注意が必要とされ、金銭が絡むサイトでは被害が大きくなると説明されています。

IPAが根本的な対策として挙げているのは、処理を行うページをPOSTで受け付け、推測されにくい秘密の値（トークン）をフォームに埋め込んで一致を確かめること、実行の直前にパスワードを入れ直してもらうこと、リンク元（Referer）が正しいかを確かめることです。重要な操作をしたときに登録済みのメールアドレスへ知らせる方法は、被害を防ぐものではありませんが、利用者が異変に気づくきっかけになります。

多くのWebアプリケーションのフレームワークには、トークンを使った対策の仕組みが用意されています。仕組みがあっても、設定で無効にしていたり、一部の画面で使っていなかったりすると守られないため、脆弱性診断やコードレビューで確かめます。