サイト閲覧だけでマルウェアに感染する攻撃とは
ITパスポート試験 令和5年度 問58 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
Webサイトなどに不正なソフトウェアを潜ませておき，PCやスマートフォンなどのWebブラウザからこのサイトにアクセスしたとき，利用者が気付かないうちにWebブラウザなどの脆弱性を突いてマルウェアを送り込む攻撃はどれか。
- ア
DDoS攻撃
- イ
SQLインジェクション
- ウ
ドライブバイダウンロード
- エ
フィッシング攻撃
会話形式の解説
講師今回はWebに関わる攻撃の名前を答える問題です。注目したいのは「サイトにアクセスしたとき」「利用者が気付かないうちに」「脆弱性を突いて」「マルウェアを送り込む」の四つの言葉です。
受験者偽サイトに誘い込む話に見えたので、私はフィッシング攻撃かと思いました。でも「気付かないうちに」という部分が引っかかります。
講師よいところに気付きました。フィッシング攻撃は、実在する企業を装ったメールや偽サイトに誘い込んで、利用者に個人情報を入力させて盗む攻撃です。人をだまして操作させる手口なので、利用者は自分で入力しています。
受験者問題文の攻撃は、利用者が何も操作しなくても、脆弱性、つまりソフトウェアの弱点を突かれて自動的に感染するということですね。
講師そのとおりです。それに当てはまるのがドライブバイダウンロードです。悪意あるプログラムを仕込んだサイトや、改ざんされた正規サイトを閲覧しただけで、ブラウザなどの脆弱性を突かれてマルウェアが送り込まれます。自分でダウンロード操作をしなくても感染する点が、問題文と合っています。
受験者DDoS攻撃もサイトに関係する攻撃なので、少し迷いました。
講師DDoS攻撃は、多数の機器から大量の通信を送りつけて、サーバなどのサービスを止めてしまう攻撃です。狙いはサービスを使えなくすることなので、閲覧者の端末にマルウェアを送り込む攻撃とは目的が違います。
受験者SQLインジェクションはデータベースを操作する攻撃だったと思いますが、攻撃される場所はどこになりますか。
講師Webアプリケーションの入力欄に不正なSQL文、つまりデータベースへの命令文を紛れ込ませて、サーバ側のデータベースを不正に操作します。情報の窃取や改ざん、破壊が起こり得ますが、閲覧者のブラウザを通じて感染させる攻撃ではありません。
受験者整理すると、DDoSはサービス停止、SQLインジェクションはデータベースの不正操作、フィッシングはだまして情報を盗むこと、ドライブバイダウンロードは閲覧だけで端末を感染させること、という違いですね。
講師よく整理できています。補足すると、「怪しいサイトに行かなければ安全」とは言い切れません。正規のサイトが改ざんされて感染源になることもあるからです。主な対策は、OS・ブラウザ・プラグインを最新の状態に更新し、不要なプラグインを無効化することです。
講師また、フィッシングの誘導先サイトにドライブバイダウンロードの仕掛けが置かれるなど、手口が組み合わされることもあります。試験では「だまして入力させる」のか「脆弱性を突いて自動で感染させる」のかを見分けるのがポイントです。
まとめ
この問題は、Webサイトを閲覧しただけでブラウザなどの脆弱性を突かれ、マルウェアに感染させられる攻撃の名前を問うもので、正解はドライブバイダウンロードです。利用者がダウンロード操作をしなくても成立し、改ざんされた正規サイトが感染源になることもあります。DDoS攻撃はサービス停止、SQLインジェクションはサーバ側データベースの不正操作、フィッシング攻撃は利用者をだまして情報を入力させることが目的で、狙いや手口が異なります。対策としては、OS・ブラウザ・プラグインを最新に保ち、不要なプラグインを無効化することが基本です。
解答・解説
正解はウです
この問題のテーマ
Webサイトを閲覧しただけで、ブラウザなどの脆弱性を突かれてマルウェアに感染させられる攻撃の名称を問う問題です。あわせて、Webに関わるほかの代表的な攻撃と区別できるかも確かめています。
解き方の考え方
問題文のキーワードは「サイトにアクセスしたとき」「利用者が気付かないうちに」「脆弱性を突いて」「マルウェアを送り込む」の四つです。攻撃される対象が閲覧者の端末であること、そして利用者がだまされて操作するのではなく脆弱性を突かれて自動的に感染することの二点が、見分けるポイントになります。各選択肢について「何を狙う攻撃か」「どのような手口か」を考えると、条件に合うものは一つに絞れます。
選択肢ごとの解説
- ×ア DDoS攻撃DDoS攻撃は、多数の機器から大量の通信を送りつけて、サーバなどのサービスを停止に追い込む攻撃です。狙いはサービスを使えなくすることなので、閲覧者の端末にマルウェアを送り込む問題文の攻撃とは目的が違います。
- ×イ SQLインジェクションSQLインジェクションは、Webアプリケーションの入力欄に不正なSQL文を紛れ込ませて、データベースを不正に操作する攻撃です。情報の窃取や改ざん、破壊が起こり得ますが、攻撃されるのはサーバ側のデータベースです。閲覧者のブラウザを通じて感染させる攻撃ではありません。
- ○ウ ドライブバイダウンロードドライブバイダウンロードは、悪意あるプログラムを仕込んだサイトや改ざんされた正規サイトを閲覧しただけで、ブラウザなどの脆弱性を突かれてマルウェアが送り込まれる攻撃です。利用者が自分でダウンロード操作をしなくても感染する点が、問題文の「気付かないうちに」と合っています。
- ×エ フィッシング攻撃フィッシング攻撃は、実在する企業を装ったメールや偽サイトに誘い込み、利用者に個人情報を入力させて盗み取る攻撃です。人をだまして操作させる手口なので、脆弱性を突いて自動的に感染させる仕組みとは異なります。
補足
「怪しいサイトに行かなければ安全」とは言い切れず、正規のサイトが改ざんされて感染源になる場合もあります。また、フィッシングの誘導先サイトにドライブバイダウンロードの仕掛けが置かれることもあるため、手口が組み合わされる可能性があることも覚えておくとよいでしょう。試験では「だまして入力させる」のか「脆弱性を突いて自動で感染させる」のかが、選択肢を見分けるポイントになります。
POINT
- ドライブバイダウンロードは、Webサイトを閲覧しただけでブラウザなどの脆弱性を突かれ、マルウェアに感染させられる攻撃です。
- この攻撃は利用者がダウンロード操作をしなくても成立し、改ざんされた正規サイトが使われることもあります。
- 主な対策は、OS・ブラウザ・プラグインを最新の状態に更新し、不要なプラグインを無効化することです。
- DDoSはサービス停止、SQLインジェクションはデータベースの不正操作、フィッシングはだまして情報を盗むことが目的で、それぞれ狙いが違います。