【セキュリティ】閲覧しただけで即感染！「ドライブバイダウンロード攻撃」｜情報処理問題1000本ノック
「怪しいファイルを開かなければ安全」という常識を覆す凶悪な攻撃。ユーザーがただWebページを訪れただけで裏でマルウェアを仕込む、恐怖の手口を攻略しましょう。
1. 【 問題 】：Webサイトを経由したサイバー攻撃
【 問題 】 インターネット利用者が、悪意あるスクリプトが埋め込まれたWebサイトや、改ざんされた正規のWebサイトを閲覧しただけで、ユーザーにそれと気づかせることなく、PCのブラウザ等の脆弱性を突いて自動的にマルウェアをダウンロード・実行させる攻撃手法はどれでしょうか？
① 水飲み場型攻撃 (Watering Hole Attack)
② ドライブバイダウンロード攻撃 (Drive-by Download)
③ クロスサイトスクリプティング (XSS)
④ ディレクトリトラバーサル (Directory Traversal)
2. 正解：
正解： ② ドライブバイダウンロード攻撃（Drive-by Download）
3. 解説：「ただ見るだけ」で罠にかかる仕組み
ドライブバイダウンロード攻撃は、ユーザーが「リンクをクリックしてファイルを保存する」という明確な同意操作を一切していなくても、Webサイトを「閲覧した（アクセスした）だけ」で裏で自動的にダウンロードが行われる攻撃です。
1. ハッカーは、多くの人が集まるWebサイト（またはセキュリティの甘い普通のサイト）をハッキングし、罠のコード（不可視のフレームなど）を仕込んでおきます。
2. ユーザーがそのサイトを普通に開くと、ブラウザが画面を表示するためのデータを読み込むと同時に、ハッカーが仕込んだ罠のコードも一緒に読み込んでしまいます。
3. そのコードが、ユーザーのPCに入っている「ブラウザ」や「OS」の未修正のセキュリティの穴（脆弱性）を自動的に攻撃し、本人が知らないうちに裏でマルウェアをインストール・起動させてしまいます。← ココが問題の核心！
★ ① 水飲み場型攻撃：特定の組織（企業など）を狙う際、その社員がよく使う特定のWebサイトに「ドライブバイダウンロード」の罠を仕込んで待ち伏せる、標的型攻撃の『作戦名』のことです。
★ ③ クロスサイトスクリプティング：Webサイトの入力フォームなどの不備を突き、閲覧者のブラウザ上で悪意あるスクリプトを実行させ、クッキー（セッション情報）などを盗み出す攻撃です。
★ ④ ディレクトリトラバーサル：Webサーバーのファイル指定の不備を突き、公開を想定していないシステム内部の重要なファイル（親ディレクトリなど）に不正アクセスする攻撃です。
1. 理解のコツ: 「ドライブバイ（Drive-by）」とは、車で通りすがりざまに銃撃するような「一瞬の通り魔」という意味です。ネットサーフィン中に、怪しいファイルを保存したつもりがなくても、そのページを車でビューンと通り過ぎる（ただ閲覧する）感覚でアクセスしただけで、ウイルスが車内（PC内）へ投げ込まれてしまう。そんなイメージから名付けられたのがドライブバイダウンロード攻撃です。
2. 試験対策の視点: 「Webサイトを閲覧しただけ」「自動的に（ユーザーが気づかないうちに）マルウェアをダウンロード」というフレーズがあれば、ドライブバイダウンロード攻撃が一択です。防御策としては、OSやブラウザを常に最新状態（アップデート済）にしておき、脆弱性を放置しないことが最も効果的です。
4. まとめ
「ユーザーの意思に関わらず、改ざんされたWebサイトを閲覧しただけでPCにウイルスを流し込む卑劣な攻撃」。これがドライブバイダウンロード攻撃です。かつては怪しいサイトを見なければ安全と言われましたが、現代では「普段見ている安全なはずの一般サイト」が改ざんされて罠に変わるケースが多いため、システムの脆弱性を日頃から塞いでおくことが最大の防御となります。