ドライブバイダウンロードとは？仕組み・感染経路・対策をわかりやすく解説

ドライブバイダウンロード（Drive-by Download）攻撃を受けた組織の多くが、「何か悪いサイトにアクセスしたわけではないのに感染した」と首をかしげます。正規のニュースサイトや企業サイトを閲覧しただけでマルウェアに感染する――それがドライブバイダウンロードの本質です。

攻撃者はブラウザやプラグインの脆弱性を突き、被害者がリンクをクリックしなくても自動的にマルウェアをダウンロード・実行させます。「怪しいサイトにはアクセスしない」という対策だけでは防ぎきれず、ブラウザやOSの更新状態が命運を分けます。

この記事では、ドライブバイダウンロードの仕組み・感染経路・具体的な対策を、中小企業の情シス担当者が明日から実践できるレベルで解説します。

ドライブバイダウンロードとは？

ドライブバイダウンロード（Drive-by Download）とは、ユーザーが特定のWebページを閲覧するだけで、操作なしにマルウェアがダウンロード・実行される攻撃手法です。「ドライブバイ（drive-by）」は英語で「通り過ぎながら」を意味し、立ち寄っただけで感染してしまうことを表しています。

従来のマルウェア感染では「悪意のある添付ファイルを開く」「怪しいリンクをクリックする」といった被害者側のアクションが必要でした。ドライブバイダウンロードはその前提を覆し、脆弱性のあるブラウザやプラグインを使っているだけで感染が成立します。

IPA（情報処理推進機構）の調査でも、マルウェア配布の主要な手法として継続的に挙げられており、ランサムウェアや情報窃取型マルウェアの初期侵入経路として現在も多用されています。

攻撃の仕組み（なぜ閲覧だけで感染するのか）

ドライブバイダウンロードが成立する背景には、エクスプロイトキット（Exploit Kit）と呼ばれる攻撃ツールの存在があります。攻撃の流れを整理すると次のようになります。

# ドライブバイダウンロードの攻撃フロー

1. 攻撃者が悪意のあるページ（またはスクリプト）を用意する
2. 被害者のブラウザが当該ページを読み込む
3. エクスプロイトキットがブラウザ・プラグインのバージョンを確認する
4. 脆弱性が存在する場合、対応するエクスプロイトコードを送り込む
5. 脆弱性を悪用してシェルコードを実行（サンドボックス回避も含む）
6. C2サーバーからマルウェア本体（ペイロード）をダウンロード
7. マルウェアが実行され、侵害が完了する

攻撃が完結するのに要する時間は数秒以内です。ブラウザが脆弱性を持つバージョンであれば、被害者がページを開いた瞬間に処理が完了します。

悪用される主な脆弱性の対象は次の通りです。

・ブラウザ本体: Chrome・Edge・Firefoxのレンダリングエンジンや JavaScript エンジンの脆弱性
・ブラウザプラグイン: Adobe Acrobat Reader、Javaランタイムなど（現在は減少傾向だがゼロではない）
・OS: Windowsのフォント処理・印刷スプーラーなど、ブラウザが呼び出すOSコンポーネントの脆弱性

主な感染経路のパターン

ドライブバイダウンロードが仕込まれるWebページには複数のパターンがあります。

1. マルバタイジング（悪意ある広告）経由

正規の広告ネットワークを通じて配信される広告の中に、エクスプロイトコードを埋め込む手口です。有名ニュースサイトやポータルサイトの広告枠が経路になることがあります。被害者はあくまでも「正規サイト」を閲覧しているため、警戒心が低くなりがちです。詳しくは当サイトのマルバタイジングの解説記事もあわせてご覧ください。

2. 正規サイトへの不正コード埋め込み

攻撃者がCMS（WordPressなど）やWebサーバーの脆弱性を悪用して正規サイトを改ざんし、ページ内にエクスプロイトコードを挿入します。訪問者は改ざんされたとは気づかないまま感染します。WordPressプラグインの未更新状態はこの入口になりやすいため、サイト管理者は注意が必要です。

3. SEOポイズニング（検索結果の汚染）

攻撃者が意図的に検索エンジンで上位表示されるよう最適化した悪意のあるサイトを作成します。「ソフトウェアのダウンロード方法」「無料ツール 入手」などの一般的な検索ワードで誘導されることが多く、ユーザーが自然な動作で感染ページにたどり着きます。

4. フィッシングメール経由のリンク誘導

標的を絞ったメールに記載されたURLから誘導するケースです。APT（高度持続的脅威）攻撃で多用され、業務上不自然でないURLを使って組織内の特定部門を狙います。メールの開封だけでは感染しませんが、本文中のリンクをクリックした瞬間に感染フローが始まります。

具体的な防御手順

1. ブラウザとOSを常に最新に保つ

ドライブバイダウンロードが成立するためには脆弱性が存在していることが必須条件です。ブラウザとOSを最新バージョンに保つだけで、既知のエクスプロイトキットの大半を無効化できます。

・Chrome・Edge: 自動更新を有効にする（設定 → ヘルプ → バージョン情報で確認）
・Windows Update: 自動適用を有効にし、月例パッチを遅延なく当てる
・Adobe Acrobat Reader: 「ヘルプ → アップデートの確認」または自動更新を有効化

パッチ管理の運用設計についてはパッチ管理の基礎で体系的に解説しています。

2. 不要なブラウザプラグインを削除・無効化する

攻撃面（アタックサーフェス）を減らすため、使っていないプラグインは削除します。Javaランタイムのブラウザプラグインや旧バージョンのFlash Player（すでに公式サポート終了）が残っている環境は特に危険です。

# Chrome でのプラグイン・拡張機能確認（アドレスバーに入力）
chrome://extensions/

# 不要な拡張機能は「削除」
# 残す場合は「信頼できる発行元」かどうかを必ず確認する

3. コンテンツセキュリティポリシー（CSP）の設定

Webサーバーを運営している場合、Content-Security-Policy（CSP）ヘッダーを適切に設定することで、外部スクリプトの読み込みを制限できます。自社Webサイトが改ざんされてエクスプロイトコードを配信する踏み台になるリスクを低減できます。

4. エンドポイントセキュリティ（EDR）を導入する

最新のEDR（エンドポイント検知・対応）ソリューションは、エクスプロイトコードの実行やプロセスインジェクションなどの振る舞いを検知します。シグネチャベースのアンチウイルスだけでは、ゼロデイエクスプロイトを使ったドライブバイダウンロードを防ぎきれないケースがあります。

5. ネットワーク側でブロックする

DNSフィルタリングを活用すると、エクスプロイトキットのC2（コマンド＆コントロール）サーバーや既知の悪意ある配信ドメインへの通信をブラウザに到達する前に遮断できます。DNSフィルタリングの実践ガイドで無料・有料ツールの選び方を解説しています。

また、プロキシサーバーやWebフィルタリングでカテゴリベースのブロックを実施すると、SEOポイズニングで誘導された悪意あるサイトへのアクセス自体を防げます。

中小企業でも今日からできること

予算や人手が限られている環境でも、次の3点を先に実施するだけで感染リスクを大幅に下げられます。

この3つだけでも、既存のエクスプロイトキットのほとんどに対して有効な防御が成立します。予算に余裕が出てきたら、EDRや企業向けWebプロキシの導入を検討しましょう。

姉妹サイトLinuxMaster.JPでは、Linuxサーバー環境でのファイアウォールやログ監視設定を詳しく解説しています。自社Webサーバーを運用している情シス担当者はあわせてご参照ください。

よくある誤解と注意点

誤解①「HTTPS接続なら安全」
TLS（HTTPS）は通信の暗号化を保証しますが、接続先サイトのコンテンツが安全かどうかとは別の話です。HTTPS対応の正規サイトが改ざんされていれば、暗号化された経路でエクスプロイトコードが届きます。

誤解②「Macなら感染しない」
macOSを標的にしたドライブバイダウンロードは実在します。SafariやChrome for Macの脆弱性は定期的に発見されており、macOS環境でもアップデートと対策は必須です。

誤解③「ウイルス対策ソフトが入っていれば大丈夫」
シグネチャベースのアンチウイルスは、パターンファイルに登録されていない新種のエクスプロイトや難読化されたシェルコードを見逃す場合があります。振る舞い検知機能を持つEDRとの併用が現実的な防御策です。

注意点：検証・テスト時の法律について
自社のセキュリティ検証目的でエクスプロイト技術を研究する場合は、不正アクセス禁止法や電子計算機損壊等業務妨害罪の観点から、対象範囲と目的を明確にする必要があります。詳細は法律の専門家にご確認ください。

本記事のまとめ

ドライブバイダウンロードは、ユーザーの操作なしに成立する自動感染型の攻撃です。正規サイトや広告経由でも感染が起きるため、「怪しいサイトを開かない」だけでは防ぎきれません。

防御の核心は「脆弱性を残さない」「実行させない」「通信させない」の3層で対処することです。

・脆弱性を残さない: ブラウザ・OS・プラグインを常に最新に保つ
・実行させない: EDRの振る舞い検知でエクスプロイトコードを止める
・通信させない: DNSフィルタリング・Webプロキシでペイロード配信元をブロック

まずは自社端末のブラウザバージョンを一斉確認し、自動更新が有効になっているかチェックすることから始めましょう。それだけで、現在流通している多くのエクスプロイトキットに対する耐性が大きく高まります。