情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度春期 午前 問21: ドライブバイダウンロード攻撃に該当するものはどれか。

正解

エ. 利用者が公開 Web サイトを閲覧したときに，その利用者の意図にかかわらず，PCにマルウェアをダウンロードさせて感染させる。

正答率 70.9%（117人中 83人が正解）

問題の解説

ドライブバイダウンロード攻撃とは，利用者が改ざんされた／悪意あるWebサイトを閲覧しただけで，本人の意図やクリックなしに自動的にマルウェアをダウンロード・実行させて感染させる攻撃である。利用者がWebサイトを閲覧した際に意図にかかわらずマルウェアを感染させるとした選択肢エが該当し，正解である。

選択肢ごとの解説

• アハードディスクを丸ごと暗号化して身代金を要求するのはランサムウェアの動作であり，ドライブバイダウンロードではない。
• イファイアウォールの設定不備を突いて侵入しルートキットを仕掛けるのは不正侵入の手口であり，Web閲覧による感染であるドライブバイダウンロードではない。
• ウ入力フィールドにスクリプトを入れてDB内データを不正取得するのはSQLインジェクションであり，ドライブバイダウンロードではない。
• エWebサイトを閲覧しただけで利用者の意図にかかわらずマルウェアを感染させるのは，ドライブバイダウンロード攻撃に該当する。