ドライブバイダウンロード
Web サイトを見ただけで、またはわずかな操作をしただけで、利用者の端末が攻撃を受け、コードを実行される手口です（英語では drive-by download）。
MITRE ATT&CK（攻撃者の手口を整理した公開の知識ベース）では、
初期アクセスの技術「Drive-by Compromise（T1189）」がおおむねこれにあたります。
定義
ATT&CK T1189 は、「利用者がふだんの閲覧の中で Web サイトを訪れることを通じて、攻撃者がシステムへのアクセスを得る」手口と説明しています。公開されたサーバを直接狙う手口と違い、Web サイトを訪れた利用者の端末のソフトウェアを狙うので、組織の内部のネットワークにある端末へのアクセスにつながることが多いとしています。
攻撃のコードはどこから来るか
T1189 は、ブラウザに攻撃のコードを届ける方法として、次のものを挙げています。
- 正規の Web サイトが改ざんされ、悪意のあるコードを埋め込まれる
- 正規のサイトが読み込むスクリプトが、外部からの書き込みを許す設定になったクラウドの保存領域に置かれていて、書き換えられる
- 正規の広告の配信網を通じて、悪意のある広告が配信される（マルバタイジング）
- 利用者が書き込める Web アプリケーションの機能に、スクリプトを入れられる（クロスサイトスクリプティングなど）
- ブラウザのプッシュ通知を許可すると、そのサイトにスクリプトを動かす権限を与えてしまうことがある
特定の業界や地域の人がよく訪れるサイトを狙うものは、水飲み場攻撃（watering hole）と呼ばれます。T1189 の実例には、偽の「ブラウザの更新」を装って利用者に入れさせるものも記載されています。
典型的な流れ（守る側の視点で）
T1189 によれば、訪れたサイトのスクリプトが、ブラウザやプラグインの版を調べ、脆弱な版が見つかると攻撃のコードを送り込みます。この過程で、スクリプトの有効化、通知の許可、警告の画面を無視することなどを、利用者に求める場合があります。悪用が成功すると、ほかの守りが無ければ、利用者の端末でコードを実行されます。
つまり、守る側には「脆弱な版を残さない」「利用者に許可や警告の無視をさせない」「悪用されてもほかの守りで止める」の3か所で止める機会があります。
守る手段（組織）
T1189 の緩和策（Mitigations。M で始まる番号は ATT&CK の対策の番号）から整理します。
| 手段 |
内容 |
| 更新 |
ブラウザとプラグインを最新に保ち、セキュリティの機能を有効にした新しいブラウザを使う（M1051） |
| 隔離 |
ブラウザのサンドボックス（ほかの部分から切り離した囲いの中でプログラムを動かす仕組み）で、悪用の影響の一部を抑える。ただし、サンドボックスから抜け出す手口もありうる（M1048） |
| 悪用の防止の機能 |
悪用のときに見られる振る舞いを見張る機能で、悪用の一部を止められることがある（M1050） |
| Web の内容の制限 |
広告のブロックで、広告経由の悪意のあるコードを止める。スクリプトを止める拡張機能も使える。ブラウザのプッシュ通知を無効にすることも検討する（M1021） |
| 教育 |
攻撃者の働きかけに気づけるよう、利用者を教育する（M1017）。上の典型的な流れから言えることとして、ブラウザの警告を無視しない、知らないサイトの通知やスクリプトの実行を許可しない |
| 検知 |
見慣れないドメインへの通信の後に、ブラウザが普段と違うプロセスを起動する、ファイルを書き込む、といった組み合わせを見つける（T1189 の検知の考え方。検知） |
守る手段（個人）
上の緩和策と実例から言えることを、個人の端末に当てはめます。
- ブラウザと OS の自動更新を有効にしておく
- 知らないサイトの通知の許可や、警告の画面を無視することを求められたら、従わない
- サイトの上に出る「ブラウザを更新してください」という表示から、ファイルを入れない。更新はブラウザ自身の更新の機能で行う
関連するページ
出典
確認日：2026年10月17日
ATT&CK：© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.（
Terms of Use）
最終更新：2026年10月17日 09:11
