ITパスポート 2023年 問58

Webブラウザ経由で気付かないうちにマルウェアを送り込む攻撃【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文からキーワードを抜き出す
   • 「不正なソフトウェアを潜ませておく」「利用者が気付かないうちに」「Webブラウザの脆弱性を突いて」「マルウェアを送り込む」
2. 各選択肢の意味を簡単に確認する
   • DDoS、SQLインジェクション、ドライブバイダウンロード、フィッシング
3. キーワードと選択肢の対応を照合する
   • 「利用者が気付かないうちに」かつ「ブラウザの脆弱性を突く」はドライブバイダウンロードに該当
4. 他の選択肢と合致しない理由を確認して絞り込む
   • 上記特徴は他の攻撃には当てはまらないため ウ を選ぶ

選択肢別の誤答解説

• ア: DDoS攻撃（DDoS：Distributed Denial of Service、分散型サービス妨害攻撃）
  サーバやネットワークに大量のアクセスを送り、サービスを使えなくする攻撃です。障害や遅延を引き起こしますが、マルウェアを利用者端末に送り込む攻撃ではありません。
• イ: SQLインジェクション（SQL Injection：データベース操作を不正に行う攻撃）
  Webアプリケーションの入力欄などに悪意あるSQL文を入れて、データベースを不正に操作・情報漏えいさせる攻撃です。利用者のブラウザを通じて自動的にマルウェアを送り込む性質はありません。
• ウ: ドライブバイダウンロード（Drive-by Download）
  正解。閲覧しただけで、ブラウザやプラグイン（例：Flash、Javaなど）の脆弱性を利用してマルウェアをダウンロード・実行させます。利用者が気付かないことが多い点が特徴です。
• エ: フィッシング攻撃（Phishing：なりすましで情報をだまし取る攻撃）
  本物そっくりのメールやサイトでパスワードやカード情報を入力させる手口です。ユーザの入力を誘導する点が中心で、閲覧だけでマルウェアが自動実行される点とは異なります。ただしフィッシングで誘導したサイトにドライブバイダウンロードの仕掛けを置くことはあります。

よくある誤解

1. 「フィッシングと同じ」と混同する人が多い
   • 両者ともWebを介する攻撃ですが、フィッシングは人をだまして情報を入力させる手口。ドライブバイは閲覧だけで技術的に侵入します。
2. 「クリックしなければ安全」と思い込む
   • ドライブバイダウンロードはクリック不要の場合があります。表示されただけで脆弱性を突かれることがあるため、単に“クリックしない”だけでは不十分です。
3. 「アンチウイルスだけで完全に防げる」と期待しすぎる
   • アンチウイルスは有効ですが、新種の攻撃やゼロデイ（未知の脆弱性）には対応が遅れることがあります。多層防御が重要です。

補足コラム

• ブラウザやプラグインを常に最新にする（セキュリティパッチを適用）
• 不要なプラグインを無効化する（例：古いFlash）
• ブラウザの「プラグインはクリックで実行（click-to-play）」設定を使う
• 信頼できる広告ブロッカーやスクリプトブロッカーを導入する（必要に応じて）
• アンチウイルス・マルウェア対策ソフトを導入し、定義を更新する
• OSやソフトの自動更新を有効にする

FAQ