ITパスポート 2019年 春期 問69

PCでWebサイトを閲覧しただけで、PCにウイルスなどを感染させる攻撃はどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文の注目点を確認：「閲覧しただけで」＝利用者の明示的なクリックやダウンロード操作が不要。
2. 各選択肢の意味を短く思い出す（下で解説）。
3. 「閲覧だけで感染する＝自動的に実行される攻撃」を探す。
4. 自動実行で感染するものはドライブバイダウンロードなので、ウを選ぶ。

選択肢別の誤答解説

• ア: DoS攻撃（DoS：Denial of Service＝サービス拒否）
  • 説明：サーバやサービスを過負荷にして機能を停止させる攻撃。サービスの停止が目的で、端末にウイルスを感染させることが主目的ではありません。したがって「感染させる攻撃」ではない。
• イ: ソーシャルエンジニアリング（social engineering：心理的手法）
  • 説明：人の心理をついてパスワードや機密情報を引き出したり、ユーザに悪意あるファイルを実行させたりする手法。利用者の操作（騙してクリックさせるなど）が必要なので「閲覧しただけで」ではないことが多い。
• ウ: ドライブバイダウンロード（drive-by download） ← 正しい選択
  • 説明：悪意あるウェブコンテンツが脆弱性を突いて自動的にマルウェアを配布します。利用者の明示的操作なしに感染が起き得るため、本問の条件に一致します。
• エ: バックドア（backdoor：裏口・遠隔操作用の仕組み）
  • 説明：一度マルウェアに感染した後に攻撃者が外部から遠隔操作するための仕組みやプログラムを指します。感染の「方法」ではなく、感染後の「状態／機能」に当たるため不適切です。

よくある誤解

• 「JavaScriptなどの普通のスクリプトだけでは感染しない」と考える誤解
  • 実際にはブラウザやプラグインの脆弱性があれば、ページ内のスクリプトや仕組みを使って脆弱性を突くことが可能です。だから単純に「スクリプト＝安全」とは言えません。
• 「HTTPSなら安全」と思い込む誤解
  • HTTPSは通信の暗号化と改ざん防止をしますが、ページ自体に悪意あるコードが含まれていれば暗号化されていてもそのコードは実行されます。通信の安全＝コンテンツの安全、ではありません。
• 「ユーザのクリックがなければ感染しない」との勘違い
  • ドライブバイダウンロードは「クリック不要」で感染する場合がある点を忘れがちです。

補足コラム

• 名前の由来：drive-by download は「通りすがりにダウンロードされる」というイメージから来ています。ユーザが能動的に何かをしなくても、ただページを閲覧しただけで不正なファイルが渡される場合がある、という意味合いです。
• 具体的な仕組み（簡単に）：攻撃者が不正なスクリプトや改ざんされた広告（マルバタイジング）をページに仕込み、ブラウザや古いプラグイン（例：かつてのFlashなど）の脆弱性を突く。脆弱性があると、バックグラウンドでマルウェアがダウンロード・実行されます。
• 防御の基本：ブラウザやOSを常に最新にする、不要なプラグインを無効化する、信頼できないサイトを避ける、広告ブロッカーやセキュリティソフトを使う、クリックする前にURLを確認する、など。

FAQ