サイバーセキュリティ（）は、サイバー領域に関するセキュリティを指す。
概要 サイバーセキュリティはサイバー領域のセキュリティを指し、その定義は論者によって異なるものの(後述)、この言葉は2010年ころから山下2017 p27情報セキュリティに変わるバズワード的な語として用いられるようになった。この言葉が登場した2010年頃はセキュリティにとってのターニングポイントになっており佐々木2018 p5、2010年のスタックスネットの事案や2011の三菱重工の事案からもわかるように、ターニングポイント以降、以下の問題が顕在化した。
攻撃対象が産業システムにも広がった 攻撃方法も高度化して特定組織を狙った標的型攻撃が行われるようになった 攻撃目的も国家によるサイバー攻撃、犯罪者による金銭目的、ハクティビストによる主義主張の目的などに多様化した
こうした背景のもと、サイバー領域は2011年以降、米国の安全保障において陸・海・空・宇宙に次ぐ第五の領域とみなされておりIPA APT対策システム設計ガイド p.9-10、日本においても2013年の「国家安全保障戦略」でサイバー空間への防護が国家戦略に盛り込まれるなど、サイバーセキュリティは国際政治・安全保障の問題として扱われるようになっている。このためサイバー空間の問題は、「単に技術的観点のみならず国際政治、市場権益（国際公共財）、知的財産、安全保障、軍事作戦、国の危機管理体制などの各分野に跨る問題の側面を合わせ持っている」IPA 2014 標的型メール攻撃対策設計ガイド p2。
一方、企業などの組織体にとってサイバーセキュリティ対策や情報セキュリティ対策は、企業などの組織の事業における（情報）セキュリティリスクを低減する事を主な目的とするJNSA 2018 CISOハンドブック v1.1β p.6-9ISOG-J2017 p3。組織は災害リスク、事業環境リスク、戦略リスク、財務リスク、事故・故障リスク、情報セキュリティリスク、犯罪リスク、労務リスク、事業運営上のリスクといった様々なビジネスリスクを抱えており、情報セキュリティリスクはそれらビジネスリスクの一つに過ぎない。よって組織のセキュリティを担保するには、組織の経営への影響JNSA 2018 CISOハンドブック v1.1β p.10を加味した上で、ビジネス全体のリスク項目に基づき、網羅性と合理性を検討する必要がある。したがって経営という観点から見た場合、企業戦略として、サイバーセキュリティリスクを加味してどの程度のセキュリティ投資を行うかは経営判断になるNISC p2。またサイバーセキュリティに関するガイドラインを策定するときは、リスク管理規程、危機管理規程、事業継続計画、IT-BCPといった既存のガイドラインと整合を取る必要があるJPCERT 2016 高度サイバー攻撃（APT）への備えと対応ガイド p32。
企業はサイバーセキュリティ対策のため、SOC、CSIRTなどのセキュリティ対応組織をおく事があり、こうした組織の主な仕事は以下の２点に集約される：
インシデント発生の抑制 インシデント発生時の被害最小化
ここでインシデントとは直訳すれば「事件」であるが、サイバーセキュリティの文脈では、サイバー領域において組織を脅かす不正な行為全般を指す用語である(より厳密な定義はインシデントの項目参照)。
サイバーセキュリティでも情報セキュリティのCIA、すなわち下記の３つは重視される情報セキュリティ政策会議「政府機関の情報セキュリティ対策のための統一基準」内閣官房情報セキュリティセンター (NISC)
機密性 (Confidentiality): 情報へのアクセスを認められた者だけが、その情報にアクセスできる状態を確保すること 完全性 (Integrity): 情報が破壊、改ざん又は消去されていない状態を確保すること 可用性 (Availability): 情報へのアクセスを認められた者が、必要時に中断することなく、情報及び関連資産にアクセスできる状態を確保すること
しかし制御システムのセキュリティでは重要度がC、I、Aの順番ではなく、A、I、Cの順番であるIPA 2018 制御システムのセキュリティリスク分析ガイド 第2版 p102。また以下のHSEの３つも重視される
健康（Health） 安全（Safe） 環境への影響（Environment）
定義 2018年現在、サイバーセキュリティの定義は論者により異なる。両極端の見解としては
情報セキュリティの一部とみなし、サイバー空間において機密性、完全性、可用性の確保を目指すもの デジタル社会のリスクへの対応を指すとするもの
がある山下2017 p18-27。
ISO/IEC 27032:2012の定義
サイバーセキュリティに関する情報セキュリティマネジメントシステムを規定したISO/IEC 27032:2012では、
とサイバーセキュリティを狭義に定義し、サイバー空間については
と定義している。
この標準を規定したISO/IEC JTC 1/SC 27委員会はこの定義の改定を試みており、2017年に行われた会合では事前に9通りの定義案が提出された上でその定義が議論されたが、多様な理解が存在する実態を踏まえ、定義の決定を見送っている。
サイバーセキュリティ基本法の定義
サイバーセキュリティ基本法第二条では以下のように定義される：
攻撃者
種類・攻撃の目的 セキュリティ領域は、攻撃者の種類と攻撃の目的によって以下のように分類可能である佳山2015 p6, 11： サイバー犯罪 組織・集団・個人による経済的利益に関わる領域。 サイバーテロ 組織・集団・個人によるテロリズムに関わる領域。 サイバーインテリジェンス 国家・組織によるインテリジェンス（諜報活動）に関わる領域。 国家危機管理 国家による国防・危機管理に関わる領域。 ハクティビズム 集団的・個人的な抗議活動にハッキングを利用したもの。 興味本位 個人的な自己満足あるいは信念を満たすためのもの。
経済的利益に関するものは被害が顕在化しやすいのに対し、信仰・国防に関するものは被害が顕在化しにくいという特徴がある。
サイバー犯罪の産業化 サイバー犯罪は組織化・分業化が行われ、サイバー犯罪市場では、マルウェアなどの作成者や、マルウェアを遠隔操作するためのプラットフォームの提供業者、マネーロンダリングなどを担当する犯罪組織などによりビジネス化されている。Ransomware as a Serviceなどのようにサイバー攻撃のプラットフォームも作られ、アフィリエイトモデルのような攻撃者のヒエラルキーもできている。
こうした犯罪ツールや犯罪サービスはダークウェブ上にあるダークネット・マーケットなどで取引されており、仮想通貨などを利用して決済されている。提供されているものとしては例えば金融機関と銀行へのサイバー犯罪とハッキングサービス、インターネット規模のDNSを使用したDRDoS攻撃 などがある。
なお、この活動を監視しようとする試みが様々な政府や民間団体を通じて行われており、使用されるツールの調査は『Procedia Computer Science journal』で見つけることができる。
国家が関与する攻撃 APT（後述）のような高度な攻撃は、国家の関与が疑われるものも多い。Mandiant社（買収後は買収元であるFireEye）は同一組織によると思われるAPTに対してAPT1、APT2、…と番号をつけており、攻撃組織に関与している事が疑われる国家を推定している。 中国：APT1、APT3、APT10、APT12、APT16、APT17、APT18、APT19、APT30 ロシア：APT28、APT29 イラン：APT33、APT34 ベトナム：APT32 北朝鮮：APT37
欧米でも国家が関与したハッキング行為が行われている：
米国：2010年のスタックスネットの事案におけるマルウェアはアメリカ国家安全保障局(NSA)がイスラエルと共同開発したと報じられ坂村健の目:スタックスネットの正体－ 毎日ｊｐ（毎日新聞）、2017年のWannaCryの事案で用いられたエクスプロイトのEternalBlueもNSAが作成したとされる。 イギリス：イギリスの政府通信本部(GCHQ)はLinkedInのプロフィールページにマルウェアを仕込み、ベルギーの通信企業のネットワークをハッキングしたと2013年に報じられている。またGCHQは2015年には自身がハッキング行為をしていることを初めて認めたと報じられた
標的型攻撃・APT攻撃
標的型攻撃は、2010年ころからサイバーセキュリティにおいてトレンドとなった攻撃手法で、それ以前の不特定多数を狙った攻撃と違い、特定の組織、人、これらの持つ重要情報等を標的とした攻撃である。したがって攻撃の標的となる組織固有の情報（組織構成、事業内容、システム構成等）を事前に入手し、これを利用して攻撃を仕掛ける事も多いサイバー攻撃対策総合研究センター(CYREC)。
APTは標的型攻撃の一種に分類される事が多い攻撃形態の一分類であり、「先進的で（Advanced）」「執拗な（Persistent）」「脅威（Threat）」を指すJPCERT 2016 高度サイバー攻撃（APT）への備えと対応ガイド p8 。その特徴は「特定の相手に狙いを定め、その相手に適合した方法・手段を適宜用いて侵入・潜伏し、数か月から数年にわたって継続する」ことである。想定される攻撃者としては国家スパイ、産業スパイ、犯罪組織、競合他社、ハクティビスト、国家が後押しする団体などがあるJPCERT 2016 高度サイバー攻撃（APT）への備えと対応ガイド p8。
またAPTでは明確な長期目標に基づく作戦行動のような活動が見られ、このような作戦活動を攻撃キャンペーンという。また攻撃キャンペーンは複数個の「一連の攻撃行動（オペレーション）」に分割できる。
サイバーキルチェーン
右|サムネイル|350x350ピクセル|Intrusion kill chain for information securityU.S. Senate-Committee on Commerce, Science, and Transportation-A "Kill Chain" Analysis of the 2013 Target Data Breach-March 26, 2014 サイバーキルチェーンCyberKillChain-Intelligence pp.1-2CyberKillChain-WebsiteJPCERT 2016 高度サイバー攻撃（APT）への備えと対応ガイド p13寺田2012-企業におけるサイバー攻撃対策の再考 p21は、攻撃者がAPT攻撃をはじめとしたCyberKillChain-APPLYING p2サイバー攻撃を行う上でのステージを明確化したものであり、ロッキード・マーティンの研究者が2011年に発表した。
サイバーキルチェーンでは攻撃には以下のステージがあるとする： +ステージ （日本語）ステージ （英語）説明偵察Reconnaissanceターゲットを選定し、選定されたターゲット調査する。武器化Weaponizationエクスプロイトとバックドアを組み合わせて配送可能なペイロードを作成配送Deliveryeメール、ウェブサイト、USB等を利用してターゲットにマルウェアを配送攻撃Exploitationターゲットのシステムで脆弱性を悪用したコードを実行インストールInstallationターゲットの資産にマルウェアをインストール遠隔操作Command and Controlコマンド&コントロール（C&C）サーバへのチャネルを確立目的実行Actions on Objective重要情報を持ち出すなど、目的を遂げる。
なお、「攻撃」と「インストール」をセットにし、最後に潜伏維持(Maintenance)を付け加えるバージョンもある寺田2012-企業におけるサイバー攻撃対策の再考 p20。
類似のモデル サイバーキルチェーンと同様、攻撃者の行動をモデル化したものとして以下がある： +提案者・名称ステージMandiant社の「M-Trend」モデル寺田2012-企業におけるサイバー攻撃対策の再考 p6Reconnaissance(偵察)、Initial Intrusion into the network(侵入)、Establish a Backdoor into the network(遠隔制御)、Obtain user Credentials(権限取得)、Install Various utilities(インストール)、Privilege escalation/Lateral Movement/Data Exfiltration(実行)、Maintain Persistence(潜伏)IPAのモデル佳山2015 p28IPA APT対策システム設計ガイド p.13計画立案、攻撃準備、初期潜入、基盤構築、内部調査、目的遂行、再潜入JPCERT/CCのモデルJPCERT 2016 高度サイバー攻撃（APT）への備えと対応ガイド p10準備、潜入、横断的侵害、活動トレンドマイクロのモデル偵察、スキャン、アクセス権の獲得、アクセス権の維持／引き上げ、窃盗、証拠隠滅事前調査、初期潜入、C&C通信、情報探索、情報集約、情報送出トレンドブログ-ATPを知る-1Trends in Targeted Attacks p.7
以下、サイバーキルチェーンに従って攻撃のステージを説明する。ただし必要に応じて前節で述べた他のモデルも参照したので、「準備ステージ」のようにサイバーキルチェーンにはないステージも書かれている。またサイバーキルチェーンと内容が重複する部分に関しては、上述のモデルを適時サイバーキルチェーンに読み替え、該当箇所の解説に加えた。
準備ステージ サイバーキルチェーンにはないがJPCERT/CCのモデルには記載されているステージ。
攻撃者は実際の所在地や目的を把握されないよう、グローバル規模の分散型インフラをハッキング等により構築する。このインフラには情報収集システム、電子メールシステム、ツールやマルウェアの保存用レポジトリ、C&Cサーバ、情報の引き出しに使うサーバ、外部クラウドサーバなどが含まれる。場合によっては攻撃者が自分で攻撃用にドメインを取得する事もあるのでJPCERT 2016 高度サイバー攻撃（APT）への備えと対応ガイド p11、ドメイン名はAPTの重要なインディケータ（APT関連のデータや情報を選り分けるため指標JPCERT 2016 高度サイバー攻撃（APT）への備えと対応ガイド p5CyberKillChain-Intelligence p.3）になる。
攻撃者はその攻撃元が特定されないよう、頻繁に攻撃拠点を変えるIPA APT対策システム設計ガイド p.28。また分散型のインフラにする事で攻撃の全容をつかみにくくする竹田2018 インシデント対応ハンズオン for ショーケース p19。攻撃者は犯罪用に匿名化された防弾ホスティングサーバなどの身元が割れにくいサービスを利用する事もある。
このインフラ網を構築するにあたり、攻撃者は法令を逆手に取る事があり、例えば米国や欧州では国家が国民の個人情報やトラフィック情報を収集するのが禁止されている事を逆手に取り、米国や欧州の国民のマシンを拠点にしたり、そうしたマシンからデータを送信したりする。
攻撃者はこうしたインフラ等、攻撃に必要な構成要素の動作を確認するため、テストラン（検証のための試験的な攻撃）を実施する場合があるので、その際のIPアドレスやドメイン名を特定できればこれらをインディケータとして使う事ができる。
偵察ステージ 攻撃者は偵察ステージで従業員の情報CyberKillChain-APPLYING p4やe-メールアドレスを収集したり、プレスリリース、契約発注などから企業情報を収集したり、企業がインターネットに公開しているサーバを特定したりする。攻撃者は標的組織に侵入する前に、まず標的組織の関連組織に攻撃を行ってメールアドレスなどの情報収集を行う事もあるIPA APT対策システム設計ガイド p.27。
さらに攻撃者は標的型メール（後述）等に利用可能なpdfやdocファイル等を収集する。攻撃者は攻撃用のサイトでIEのresプロトコルを使ったリンクをユーザにクリックさせる事で、ユーザが利用しているソフトウェアに関する情報を取得し、これを攻撃に利用できるトレンドブログ-ATPを知る-2。
資金力が十分ある攻撃者であれば、標的組織の防御体制、組織内で標的にすべき人物、ネットワーク構成、セキュリティ上欠陥等も把握するJPCERT 2016 高度サイバー攻撃（APT）への備えと対応ガイド p11-12。
このステージに対する対策を講じるのは非常に困難だが、自社のウェブサイトを詳細に調べるユーザをログ解析や既存のアクセス解析であぶり出したりする事はできる。
武器化ステージ エクスプロイトとバックドアを組み合わせて配送可能なペイロードを攻撃者が作成するステージでCyberKillChain-APPLYING p5、ペイロードの作成には何らかの自動化ツールが使われる事が多いCyberKillChain-Intelligence pp.4-5。ペイロードは次の配送ステージで組織に侵入する際に使用される為、侵入検知システム等に検知されないよう、標的組織に特化した攻撃手法を用いる傾向にありIPA 2014 新しいタイプの攻撃の対策第二版 p5、APTではゼロデイの脆弱性を利用される事も多いCyberKillChain-APPLYING p7。この場合マルウェア検知ソフトを利用したりパッチを当てたりといった対策で対抗するのは難しい。
対策側が攻撃者の武器化を検知するのは不可能だが、攻撃が実行された後、マルウェアの検体やアーティファクトを解析し、どんなツールキットが使われたのか、いつごろ行われたどのAPTの作戦活動に連動しているのかといった事を調査し、以後のAPT攻撃への対策に利用する事ができる。
配送ステージ、攻撃ステージ、インストールステージ これら３つのステージでは以下が行われる：
配送ステージ：ペイロードを標的に送りつける 攻撃ステージ：従業員が標的型メールを開くなどするか、あるいは攻撃者自身がサーバの脆弱性をつくことでエクスプロイトが実行される。 インストールステージ：エクスプロイトがクライアントマシンにバックドアを仕込んだり、ウェブサーバにウェブシェル(バックドアの一種)を仕込んだりしCyberKillChain-APPLYING p8、攻撃拠点を築く為、悪意のあるサービスが自動実行されるようにする。
JPCERT/CCのモデルでは攻撃者が直接潜入する事も想定し、これら３つをまとめて潜入ステージと呼んでいる。
マルウェア配送手法 代表的なマルウェア配送手法として以下のものがある。なお、下記に書いたものはマルバタイジングのように、標的型攻撃以外の攻撃で一般的なものも含まれる。 +手法概要標的型メールCyberKillChain-APPLYING p6JPCERT 2016 高度サイバー攻撃（APT）への備えと対応ガイド p9竹田2018 インシデント対応ハンズオン for ショーケース p12標的型メールとは、標的となる組織・ユーザに特化した文面を作り込むなどする事でIPA APT対策システム設計ガイド p.29、受信者が不審を抱かずに添付ファイル（pdf、Wordファイル等）を開いたり、リンクを開いたり（スピアフィッシング）してしまうよう工夫されたメールの事であるIPA 2015 標的型攻撃メールの例と見分け方 p1。標的型メールは、添付ファイルやリンク先に仕込まれたペイロードを利用して組織内に侵入拡大する事を目的とするIPA 2014 標的型メール攻撃対策設計ガイド p7。水飲み場型攻撃標的組織のユーザがアクセスする可能性の高いウェブサイトを攻撃者が改ざんし、そのサイトを閲覧したユーザがドライブバイダウンロード（ブラウザやそのプラグインの脆弱性を悪用してブラウザの権限を奪取し、マルウェアをインストールさせる手法八木、村山、秋山 2015 pp.45-46）などによりマルウェア感染するようにする攻撃である。標的組織のIPアドレスからアクセスされた場合のみ攻撃を行う事でサイトの改ざんを発覚しにくくする場合もある羽室2018 p110。なお「水飲み場型攻撃」という名称は改ざんサイトを水飲み場に見立て、ライオンが水飲み場で獲物を待ち伏せるがごとく、攻撃者が改ざんサイトでユーザを待ち伏せすることからついたものである。USBにマルウェアを仕込むマルウェアが仕込まれたUSBを標的組織のユーザが端末に挿入する事で感染。Windowsのオートラン機能を悪用する。インターネットと接続していない(エアギャップ)クローズ系の機器であっても、アップデート等でUSBを挿入する事があるので、こうした機器にも感染を広げる事ができるIPA 2014 新しいタイプの攻撃の対策第二版 p19。別の機器でマルウェアに感染したUSBをユーザが端末に挿入するのを待つ方法と、攻撃者がマルウェアを仕込んだUSBを標的組織に落としておいて、それを拾ったユーザが端末に挿入するのを待つ方法がある。リモートエクスプロイト遠隔ホストから標的ホストの脆弱性をついてマルウェアをインストールする。アップデートハイジャック標的組織が使っているソフトのアップデート配信元に侵入し、アップデート時にマルウェアを送り込む攻撃ドメインハイジャック標的組織が利用するウェブサイトのドメインを乗っ取る事で、攻撃者サイトに誘導する攻撃トロイの木馬スマートフォンアプリやP2Pファイル、ウェブサイト上の有用そうなファイル等にみせかけてトロイの木馬をインストールさせる。マルバタイジングマルウェアの拡散や悪性サイトへのリダイレクト等を目的とした悪質なオンライン広告配信の事。典型的にはオンライン広告に悪意のあるスクリプトが仕込まれ、これをクリックするとマルウェアに感染するなどする。広告を表示しただけで感染するケースもある。多数のユーザが集まるサイトに広告を配信する事で、そのサイトを改ざんする事なくマルウェア配信等が可能な事が攻撃者にとっての利点である。またウェブ広告では広告データは複数のサーバを経由する上、秒単位の入札で表示される広告が決まる仕組みなので、後から不正広告を追跡するのが難しい事も攻撃者にとって利点である。典型的には広告会社に攻撃を仕掛ける事でマルバタイジングを行う。タイポスワッティング「URLハイジャッキング」とも呼ばれ、インターネットユーザーがWebブラウザにURLを入力する際に犯す打ち間違いを利用した攻撃である。例えば攻撃者が「https://ja.wijipedia.org」というドメインを取得していると、ユーザがウィキペディア日本語版にアクセスするつもりで誤って「https://ja.wijipedia.org」と入力した場合に攻撃者サイトにアクセスしてしまう。
なお、特にスマートフォンアプリでは、正規のアプリをマルウェアとセットにしてリパッケージしたアプリを配布する事で、マルウェア感染させる手法がある。
大量の本物の業務メールに紛れて、業務メールに見せかけた標的型メールが送られてくるなどするので、配送ステージに対して完全な対策を打つのは難しく、次以降のステージに攻撃が移行する事が多い。
標的型メール 標的型メールの文面は、準備ステージで窃取した本物のメールを流用されている場合もあり、受信者が標的型メールである事を見抜くのは難しい。標的型メールで感染するペイロードは既存のマルウェアの亜種を使ったり、ゼロデイの脆弱性を使ったりする事で検知を逃れる工夫がなされている事もある。また、アイコンや拡張子を偽装する事でexeファイルでないように見せかけたファイルをユーザにクリックさせたりJ-CRAT技術レポート2017 p67、正規のアプリケーションに見せかけたトロイの木馬をユーザ自身にインストールさせたりする事で、脆弱性を利用しないでマルウェアに感染させる場合もある。
添付した実行ファイルの拡張子の偽装方法としては下記のものがある： +手法概要二重拡張子「hoge.doc.exe」のように二重に拡張子をつける。拡張子を表示しない設定になっていると、「hoge.doc」と表示されるのでdocファイルに偽装できる。RLO（Right-to-Left Override）による偽装「hogecod.exe」のようなファイル名の下線部にRLOを用いると、「hogeexe.doc」と表示されるので、docファイルに偽装できる。長い空白の利用「hoge.doc(長い空白).exe」のようなファイル名にするとファイル名の後半の表示が省略されて「hoge.doc」と表示されるのでdocファイルに偽装できる。
標的型メールの一形態として、「一般の問い合わせ等を装った無害な「偵察」メールの後、ウイルス付きのメールが送る」ものをやり取り型という。また、不特定多数を対象にした攻撃用メールを用いた攻撃をばらまき型のメールという。ばらまき型メールを標的型メールに含めるか否かは論者によって異なり、IPAのJ-CSIPなど標的型メールに含めない論者がいる一方で、ばらまき型メールであっても特定企業の全社員や特定銀行の全ユーザなどを対象にしている事が多いことから標的型メールに含める論者もいる。
マルウェア配布ネットワーク ドライブバイダウンロード型の攻撃では、攻撃のスケーラビリティ向上や運用コスト削減、対策耐性の向上といった理由により、複数の悪性サイト間をリダイレクトさせた上でマルウェアを配布する事が多い八木、村山、秋山 2015 pp.85-90。こうした目的のために攻撃者により構築させる悪性サイトのネットワークをマルウェア配布ネットワークという。マルウェア配布ネットワークには以下の４種類のサイトが含まれる事が多い： +名称概要入口サイト標的となるユーザが最初にアクセスするサイトで、多数のユーザをマルウェア感染させるため、改竄された一般サイトなどが利用される。入口サイトは踏み台サイトへとリダイレクトされている。踏み台サイト入口サイトに攻撃サイトのURLを残さないために設置され、攻撃サイトにリダイレクトされている。攻撃サイトユーザにマルウェアをダウンロードさせるためのシェルコードを仕込んだサイトマルウェア配布サイトユーザは攻撃サイトのシェルコードにより、マルウェア配布サイトのマルウェアをダウンロードする マルウェア配布ネットワークは多数の入口サイトを少数の攻撃サイトへと導くための仕組みである。このような構成を取る事により、攻撃者には以下の利点がある：
複数のサイトを改ざんして入口サイトにし、攻撃サイトに誘導する事でスケーラビリティの高い攻撃を行う事ができる。 攻撃コードを改良する場合は少数の攻撃サイトやマルウェア配布サイトを書き換えれば、多数の入口サイトはそのままでよいので運用コストが下げられる。 踏み台サイトを経由する事で攻撃サイトのURLを入口サイトの管理者から隠しているので、対策耐性が高い。
リダイレクトには、HTTPリダイレクト、HTMLのiframeタグや「meta http-equiv="refresh"」を使ったリダイレクト、JavaScriptなどのスクリプトのリダイレクトの３種類があり、これらが攻撃に利用される。このうちHTMLのiframeを使ったリダイレクトは、widthとheightを0にする事でフレームサイズを0にし、さらにstyle属性を"visibility:none"や"visibility:hidden"にする事で非表示化できるので、標的ユーザに気づかれる事なくリダイレクトできる。同様にstyle属性を"position:absolute"にし、フレームの位置のtopとleftとしてマイナスの値を指定することでも非表示化できる。