>
>
公開日
最終更新日
ドライブバイダウンロードは、怪しいファイルを自分で開いた場合だけに起きる被害ではありません。正規サイトの改ざんや不正広告から、ブラウザなどの脆弱性を突かれ、閲覧をきっかけにマルウェアが実行される場合があります。
さらに2025年以降は、偽CAPTCHAからOSコマンドを実行させるClickFixが急増しています。これは狭義のドライブバイダウンロードと異なり、利用者の操作を悪用するWeb起点の関連攻撃です。
本記事は、社内PCを管理する情報システム部門、自社サイトを守るWeb管理者、PCやiPhone・Androidの感染が心配な個人を対象に、攻撃の仕組み、被害事例、確認手順、初動対応、多層防御の設計を実務に沿って整理します。
ドライブバイダウンロードとは
ドライブバイダウンロードとは、Webサイトの閲覧を起点に、利用者が意図しないプログラムを取得・実行させる攻撃です。
本記事のポイント
狭義のドライブバイダウンロードは、ブラウザなどの脆弱性を悪用し、明示的な実行操作なしで感染させる攻撃です。
ClickFixは利用者にコマンドを実行させるため、純粋な自動感染ではなく、ソーシャルエンジニアリングと融合した関連手法です。
企業には社用端末が感染するリスクと、自社サイトが改ざんされて攻撃の踏み台になるリスクがあります。
PCとスマホの更新だけでなく、通信制御、挙動検知、最小権限、ログ保全を組み合わせて被害を抑えます。
狭義の定義と関連手法の境界
英語のdrive-by downloadは、通りすがりに被害を受けるという含意を持つ用語です。利用者が改ざんサイトを表示すると、埋め込まれたスクリプトがOS、ブラウザ、拡張機能などを調べ、利用可能な脆弱性を悪用します。この脆弱性悪用部分は、ドライブバイエクスプロイトとも呼ばれます。
一方、偽の更新ボタンを押させる手口や、偽CAPTCHAからPowerShellを実行させるClickFixには利用者の操作があります。どちらもWeb閲覧から始まりますが、自動的にコードを実行する狭義の攻撃と、人をだまして実行させる攻撃を分けると、対策の対応関係が明確になります。
分類 | 感染成立の条件 | 主に狙う弱点 | 優先する防御 |
|---|---|---|---|
狭義のドライブバイダウンロード | ページ表示後に脆弱性悪用が成功 | 未修正のOS・ブラウザ・拡張機能 | 迅速な更新、SWG、ブラウザ分離、EDR |
偽ダウンロード型 | 利用者が偽ファイルを保存・実行 | 正規ソフトに見せる表示と検索広告 | アプリ許可制、DNS防御、電子署名確認 |
ClickFix型 | 利用者がコピーしたコマンドを実行 | 偽CAPTCHAとOS標準ツール | 実行制御、コマンドログ、教育、EDR |
被害者と踏み台の二重リスク
閲覧者側では、認証情報、ブラウザのセッションCookie、顧客データ、暗号資産ウォレットなどが盗まれます。社用PCのCookieが窃取されると、攻撃者が多要素認証後のセッションを再利用し、Microsoft 365やGoogle Workspaceなどへ侵入する場合があります。
Webサイト運営者側では、WordPressなどのCMS、プラグイン、管理者アカウント、Webサーバーが侵害されると、自社サイトが訪問者へ攻撃コードを配信する踏み台になります。サイト停止だけでなく、検索エンジンの警告表示、広告停止、取引先への説明、個人データ漏えい対応まで影響が広がります。
最新ブラウザだけでは残る侵害経路
Chrome、Edge、Safariなどは、Webページの処理をOSから隔離するサンドボックスや危険サイトの警告機能を備えています。ただし、修正プログラムが存在しないゼロデイ脆弱性や、利用者自身がブラウザ外でコマンドを実行するClickFixまでは、ブラウザ単体で遮断できません。
CISAの既知悪用脆弱性カタログは、実際の攻撃で悪用された脆弱性を継続的に追加しています。情シスがカタログ掲載済みの脆弱性を確認できた場合は通常の月次更新を待たずに緊急更新へ切り替え、更新できない場合は対象端末の分離や機能停止で露出を下げます。
iPhone・Androidに残るリスク
スマホにもブラウザやOSの脆弱性を悪用するドライブバイ攻撃は成立します。ただし、不審な構成プロファイル、端末管理権限を要求するアプリ、正規ストア外アプリ、偽アップデート画面は、閲覧だけで感染する狭義の攻撃とは別の経路です。
iPhoneでは覚えのないVPNやデバイス管理設定、Androidでは端末管理アプリ、ユーザー補助権限、不明なアプリのインストール許可が判断材料になります。AndroidでPlay Protectが有効なら検査結果を確認し、無効または組織管理外なら端末をネットワークから切り離して業務アカウントのセッションを失効させます。GoogleはGoogle Play Protectの公式案内で、アプリの安全性確認や有害アプリの警告機能を説明しています。
攻撃の仕組みと進化する手口
現在の攻撃は、サイトへの誘導、端末判定、コード実行、認証情報窃取、社内侵入という複数の段階で進みます。
脆弱性悪用型の感染チェーン
攻撃者は、すべての閲覧者へ同じマルウェアを配るとは限りません。端末のOSやブラウザを判定し、攻撃可能な環境だけにコードを返すことで、セキュリティ調査を避けながら成功率を上げます。
誘導：改ざんされた正規サイト、不正広告、検索結果に表示された偽サイトへアクセスさせます。
環境判定：ブラウザ、OS、言語、IPアドレス、画面サイズなどから攻撃対象を選別します。
脆弱性悪用：ブラウザや関連コンポーネントの欠陥を突き、攻撃コードを実行します。
追加取得：小さな初期プログラムからインフォスティーラーや遠隔操作ツールを取得します。
侵害拡大：盗んだ認証情報やCookieを使い、メール、SaaS、VPN、管理画面へ侵入します。
図解：Web閲覧から社内侵入までの代表的な感染チェーン
自動的なファイル取得が発生しても、端末側で実行を阻止できれば感染は成立しません。そのため、入口であるSWGだけに依存せず、実行制御とEDRを後段に配置します。
水飲み場型攻撃とマルバタイジング
水飲み場型攻撃は、特定の企業、業界、研究分野の関係者が頻繁に利用するWebサイトを改ざんし、対象者が訪れるまで待ち伏せる攻撃です。アクセス元IPやブラウザ言語によって攻撃対象を絞るため、一般的な自動検査では悪性コードが再現しない場合があります。
マルバタイジングは、広告ネットワークや検索広告を悪用して、偽サイトや攻撃用ページへ誘導する手口です。広告が掲載されたメディア自体に問題がなくても、広告配信事業者、転送先、広告主アカウントのいずれかが侵害されると攻撃経路になります。検索結果のスポンサー枠を正規サイトの証明として扱わず、ソフトウェアはベンダー公式の配布ページか社内ポータルから取得します。
ClickFixによる操作誘導
ClickFixは、Webページ上に「ロボットではありません」「ページを修復してください」などと表示し、WindowsのWin＋RやmacOSの検索機能を開かせます。その後、クリップボードに入れられたPowerShellやターミナル用のコマンドを貼り付けさせ、利用者自身の権限で実行します。
ESETはESET Threat Report H1 2025で、ClickFixに関連する検出数が2024年下半期から2025年上半期にかけて大幅に増加したと報告しています。同レポートには517％という数値が示されているとされていますが、レポート内での記載形式や集計方法はESET製品の検出テレメトリーに依拠しており、世界全体の被害件数や感染者数を表すものではありません。詳細は上記URLのレポート本文で直接確認し、自組織の監視対象の参考にします。
MicrosoftもClickFixの攻撃分析で、偽CAPTCHAや偽エラーを使った操作誘導と、PowerShellなどの正規ツールを悪用する流れを解説しています。Webページ上の認証画面がOSの実行画面やコマンド貼り付けを要求した場合は操作を中止し、社内端末ならURLと画面を情シスへ報告します。
ファイルレス攻撃と正規ツールの悪用
Living off the Landは、PowerShell、cmd.exe、mshta.exe、wscript.exe、rundll32.exeなど、OSに標準搭載された機能を攻撃に転用する考え方です。実行ファイルを長時間保存せず、メモリ上でコードを動かす手口では、ファイルのハッシュ値だけを見る従来型の検査が機能しにくくなります。
正規ツールの起動だけで感染と判断すると、管理スクリプトや業務アプリを誤検知します。ブラウザやOfficeアプリからPowerShellが起動したという親子関係、Base64などで難読化されたコマンドライン、ユーザーフォルダからの実行、直後の外部通信、タスクスケジューラへの登録を組み合わせて判定します。
インフォスティーラーからランサムウェアへの連鎖
ドライブバイダウンロードで最初に入るマルウェアが、直ちにファイルを暗号化するとは限りません。Lumma Stealer、Rhadamanthys、Stealcなどのインフォスティーラーは、ブラウザ保存情報、Cookie、暗号資産ウォレット、FTP設定などを盗み、攻撃者向け市場で認証情報を流通させます。
攻撃者が盗んだVPNや管理者アカウントを購入すれば、数日後または数週間後に別の攻撃グループが社内へ入り、権限昇格とバックアップ破壊を経てランサムウェアを実行できます。ドライブバイ攻撃とランサムウェアの間に時間差があるため、端末を駆除しただけで終わらせず、セッション失効と認証ログの追跡まで実施します。
▲ Web閲覧から社内ネットワーク侵入に至る代表的な5段階の感染チェーン
国内外の被害事例と最新動向
正規サイト、研究機関、大手広告媒体も攻撃経路になっており、サイトの知名度だけでは安全性を判断できません。
ガンブラー攻撃で顕在化した国内被害
2009年から2010年に国内で広がったガンブラー攻撃では、FTPなどの認証情報を盗まれたWebサイトが改ざんされ、閲覧者を別の攻撃サイトへ転送する連鎖が発生しました。JR東日本など複数の企業サイトでも改ざんが公表され、正規サイトがマルウェア配布の踏み台になり得ることが広く認識されました。
これは過去の事例であり、現在の各社サイトの安全性を示す情報ではありません。一方、盗んだWeb管理者情報から別サイトを改ざんし、さらに認証情報を盗む構造は、CMSアカウントやクラウド管理資格情報を狙う現在の攻撃にも共通します。
国内サイトを狙ったSQRoot
JPCERT/CCは近年の水飲み場攻撃事例 Part2で、国内のメディアなどのWebサイトが改ざんされ、閲覧者へ不正ファイルをダウンロードさせる攻撃を報告しています。特定の関係者が訪れるサイトを利用する点では、水飲み場型攻撃とドライブバイダウンロードを組み合わせた事例です。
攻撃ページがアクセス元や閲覧条件に応じて挙動を変えると、Web管理者が自社ネットワークから確認しただけでは改ざんを再現できません。外部監視拠点からの改ざん検知、HTMLやJavaScriptの差分監視、CSP違反レポートを組み合わせると、条件付きで表示される不正コードも追跡しやすくなります。
大手媒体を経由した不正広告
過去にはYahoo!、Spotify、LA Timesなどの大手プラットフォームや広告枠がマルバタイジングに悪用された事例があります。これらも現在の各サービスが侵害されているという意味ではなく、正規媒体の広告配信経路に第三者が入り込むと、閲覧者が偽ページへ転送されることを示す歴史的事例です。
企業のWebフィルタリングでは、閲覧先サイトのカテゴリだけでなく、広告スクリプトが接続する外部ドメインや短時間で連続するリダイレクトも監視対象にします。広告配信先を一律に遮断できない業務では、ダウンロードを許可するドメインを限定し、実行ファイルを隔離環境で検査します。
2025年以降の脅威データ
2025年上半期にESETが観測したClickFix検出数の517％増加は、ブラウザの脆弱性だけでなく、利用者の操作を攻撃チェーンに組み込む手法が拡大したことを示します。情シスは自動ダウンロードだけを監視対象にせず、ブラウザからPowerShellやターミナルが起動する挙動も検知条件に含めます。
IPAはコンピュータウイルス・不正アクセスの届出状況を継続的に公開し、侵入経路や被害内容を分析しています。IPAの届出資料では、ログが残っていないため原因や影響範囲を十分に特定できない事例が繰り返し取り上げられています。件数の多寡だけでなく、調査可能なログを感染前から残せるかが復旧時間を左右します。
個人データ漏えい時の報告期限
ドライブバイ攻撃で個人データが窃取され、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正目的による漏えいの場合、または1,000人を超える場合などは、個人情報保護委員会への報告と本人通知の対象になります。
個人情報保護委員会は個人データの漏えい等が発生した場合の対応で、速報を発覚からおおむね3～5日以内、確報を原則30日以内、不正目的のおそれがある事案では60日以内と案内しています。対象要件や例外の詳細は同ページのガイドライン・Q&Aで確認し、自社の事案に該当するかどうか不明な場合は個人情報保護委員会または法律の専門家に照会して判断します。対象条件に該当するなら速報準備と技術調査を並行し、該当しない場合も判断根拠と調査記録を残します。
よくある誤解と運用の失敗パターン
更新やウイルス対策ソフトの導入だけで完結させる運用は、ClickFix、ファイルレス攻撃、侵害後の調査に対応できません。
有名サイトだけなら安全という誤解
攻撃者は、利用者が警戒する無名サイトだけを使うわけではありません。官公庁、大学、業界メディア、取引先、広告配信ネットワークなど、日常的にアクセスされる場所を改ざんすれば、URLを見ただけでは攻撃を見抜けません。
危険サイトを避ける教育は残しつつ、正規サイトの閲覧時にも動作するDNSフィルタリング、SWG、ダウンロード検査、EDRを配置します。URLカテゴリが安全でも、接続先が新規取得ドメインへ急に変わった場合は遮断する設計が有効です。
更新すれば完全に防げるという誤解
OSとブラウザの更新は、既知の脆弱性を塞ぐ最初の防御です。ただし、公開前のゼロデイ脆弱性、更新対象外になった古い端末、ClickFixのように人へコマンドを実行させる攻撃は残ります。
更新できる端末は自動更新と適用期限を管理し、業務上の理由で更新できない端末は一般端末と同じネットワークに置きません。インターネット接続や管理画面へのアクセスを限定し、代替端末への移行期限を決めます。
EPPだけで足りるという誤解
従来型のEPPは、既知の不正ファイルや一般的なマルウェアを遮断する役割を持ちます。一方、署名済みの正規ツールを悪用する処理や、メモリ上だけで動くコードは、ファイルの一致判定だけでは見逃す場合があります。
EDRはプロセスの親子関係、コマンドライン、レジストリ変更、外部通信などを時系列で記録します。EPPをEDRへ単純に置き換えるのではなく、既知ファイルの防御、通信の入口対策、不審挙動の検知という役割を分けます。
ログを保存しない運用上の失敗
被害発生後にプロキシ、DNS、EDR、IdPのログが残っていないと、最初にアクセスしたURL、同じページを開いた端末、盗まれたアカウント、外部への送信先を追跡できません。侵入経路を特定できないまま端末だけを初期化すると、別端末やSaaSに残った侵害を見落とします。
ログ保存期間は、インシデント調査に必要な期間とサービスの契約上限から決めます。各ログを6か月保存できるなら共通の検索基盤へ集約し、1年間保存できる契約なら年次監査まで追跡できる構成にします。保存できない製品は、外部ストレージへの転送または上位プランの費用を比較し、少なくともDNS、認証、EDRアラートから先に残します。
実行制御を一律適用する失敗
PowerShell、WScript、mshtaなどを全社で突然停止すると、キッティング、ログオンスクリプト、会計処理、RPA、端末管理が停止する場合があります。安全性を上げても業務継続が崩れれば、利用部門が例外設定を常態化させます。
MicrosoftのWindows Defender Application Controlの公式資料に沿い、まず監査モードで影響を記録します。署名済みスクリプトと管理端末だけを許可できるなら制御モードへ移し、許可条件を作れない業務は隔離ネットワークで動かします。
誤解・失敗 | 実際に残るリスク | 判断基準 | 実施する対策 |
|---|---|---|---|
怪しいサイトを避ければ足りる | 正規サイト改ざん、不正広告 | 外部スクリプトや転送先を監視できるか | SWG、DNS防御、ブラウザ分離 |
更新すれば完全に防げる | ゼロデイ、ClickFix、更新対象外端末 | 未更新端末を特定・隔離できるか | MDM、資産台帳、ネットワーク分離 |
EPPだけで足りる | ファイルレス攻撃、正規ツール悪用 | プロセスの挙動を追跡できるか | EDR、コマンドログ、実行制御 |
発生後にログを集める | 保存期限切れ、原因特定不能 | 端末・通信・認証を時系列で結合できるか | 集中保管、時刻同期、6～12か月保存 |
PC・スマホで感染を確認する方法
感染確認では、プロセス名だけで断定せず、起動元、コマンド、通信先、アカウント履歴を時系列で照合します。
PCで確認する端末挙動
Windowsではタスクマネージャー、Macではアクティビティモニタから、CPU、メモリ、ディスク、ネットワークを継続的に使うプロセスを確認します。PowerShell.exe、cmd.exe、wscript.exe、osascript、Terminalは正規業務でも起動するため、存在するだけでは感染の証拠になりません。
親プロセス：ブラウザ、PDF閲覧ソフト、Officeアプリからコマンド実行ツールが直接起動していないかを見ます。
コマンドライン：長い難読化文字列、外部URL、ユーザーフォルダへの保存、実行ポリシー回避の指定がないかを見ます。
実行元と署名：Temp、AppData、ダウンロードフォルダにあるランダムな名前のファイルを調べます。正規署名があっても、正規ツールの悪用は除外しません。
永続化設定：スタートアップ、サービス、タスクスケジューラ、ログイン項目に覚えのない登録がないかを調べます。
通信先：直前に作成されたドメイン、見慣れない海外IP、深夜の継続通信、短時間の大量送信を調べます。
社用PCにEDRがある場合は、利用者が不審ファイルを削除する前に端末ID、検知時刻、閲覧URL、行った操作を情シスへ渡します。個人PCでEDRがない場合はネットワークを切断し、OS標準のセキュリティ機能でフルスキャンを実施した後、安全な別端末からアカウント履歴を確認します。
ブラウザとダウンロード履歴の確認項目
ブラウザでは、ダウンロード履歴、閲覧履歴、通知の許可、拡張機能、検索エンジン、ホームページ設定を確認します。ClickFixが疑われる場合は、閲覧履歴だけでなく、同じ時刻に実行されたPowerShellやターミナルの履歴も照合します。
不審な拡張機能を見つけても、組織管理下の端末ではすぐに削除しません。情シスが拡張機能IDと配布元を記録できれば証跡を取得してから隔離し、記録できない緊急時はネットワークを切断したうえで画面と名称を撮影し、被害拡大を止めます。
iPhone・Androidの確認項目
スマホでは、突然の発熱やバッテリー消耗だけで感染とは判断できません。アプリ更新や写真同期でも同様の挙動が起きるため、インストール履歴、権限、通信量、端末管理設定、アカウント履歴を組み合わせます。
iPhone：設定内のVPN、デバイス管理、カレンダー登録、Safariの拡張機能、見覚えのないホーム画面アイコンを確認します。
Android：端末管理アプリ、ユーザー補助、VPN、不明なアプリのインストール、通知へのアクセス権限を確認します。
共通：月間通信量が急増したアプリ、勝手に開く広告、覚えのないアプリ、国外からのログイン履歴を確認します。
会社支給スマホでMDMが動作しているなら自己判断で初期化せず、端末を機内モードにして管理者へ連絡します。個人端末で業務アカウントを利用している場合は、別の安全な端末からセッションを失効させ、端末側の調査とアカウント保護を並行します。
SaaSと認証情報の確認項目
インフォスティーラーは短時間で情報を送信するため、端末に目立つ症状がなくてもアカウントが侵害されている場合があります。Microsoft 365、Google Workspace、VPN、パスワードマネージャー、クラウドストレージのログイン履歴を確認し、未知の端末、通常と異なる国、短時間の連続アクセスを探します。
パスワードを変更しても、盗まれたセッションCookieが有効なら不正アクセスが続く可能性があります。管理画面で全セッションを失効できるならパスワード変更と同時に実行し、できないサービスでは管理者またはサービス窓口へ不正セッションの無効化を依頼します。
感染判断の簡易フロー
単一の警告ではなく、複数の証拠が一致するかで隔離と調査の優先度を決めます。
Webページ上でコマンドを実行した、またはEDRが高リスクで検知した場合は、症状がなくても即時隔離します。
不審なプロセスと未知の外部通信が同時刻にある場合は、感染疑いとしてログを保全します。
広告表示や発熱だけで証拠が一致しない場合は、ネットワーク通信、アプリ権限、認証履歴を追加確認します。
端末側の痕跡が消えていても不正ログインがある場合は、認証情報窃取としてセッション失効と影響範囲調査へ進みます。
感染時の初動対応と報告フロー
感染が疑われる場合は、最初の15分で通信を止め、1時間以内にアカウントを保護し、24時間以内に影響範囲を特定します。ただし、法人管理下の端末では情シス・セキュリティチームの指示が個人判断より優先されます。証拠保全、端末の電源操作、法的報告など専門知識が必要な作業は、以下のタイムラインを目安にしながらも担当チームの指示に従って実施します。
最初の15分に行う隔離と証跡保全
PCはLANケーブルを抜き、Wi-FiとBluetoothを停止します。スマホは機内モードに切り替えます。端末管理機能からネットワーク隔離できる企業では、情シスがEDRやMDMから隔離し、利用者には電源操作を止めるよう伝えます。
シャットダウン、初期化、不審ファイルの削除を急ぐと、メモリ上のコード、通信セッション、実行時刻などの証拠が失われます。ただし、ファイル暗号化が進行しており隔離できない場合は、被害拡大を止めるため電源を切ります。画面、時刻、URL、操作内容を記録し、判断理由もインシデント記録へ残します。
1時間以内のアカウント保護
安全な別端末から、メール、SaaS、VPN、管理者アカウントのパスワードを変更し、既存セッションを失効させます。感染端末上で変更すると、新しいパスワードも盗まれる可能性があるため使用しません。
同じパスワードを複数サービスで使っている場合は、メールとパスワードマネージャーを先に保護し、その後に業務SaaS、EC、金融サービスへ進みます。管理者権限が侵害された場合は、別の緊急用管理者アカウントから権限を停止し、通常利用者の対応より優先します。
24時間以内の影響範囲調査
EDR、プロキシ、DNS、IdP、メール、VPN、Webサーバーのログを同じ時刻軸に並べます。同じURLを開いた端末、同じコマンドを実行した端末、同一IPへ通信した端末、侵害アカウントでログインされたサービスを検索します。
NISTはSP 800-61 Rev.2（2012年公開）のインシデント対応ガイドで、準備、検知・分析、封じ込め・根絶・復旧、事後活動という流れを整理しています。本記事では同ガイドの4段階フレームワークを参照していますが、NISCTは2024年にSP 800-61 Rev.3を公開しており、Rev.3では組織間の連携と継続的改善が強化されています。自組織の対応手順をRev.2ベースで整備している場合は、NISTのCSRCページでRev.3の変更内容を確認し、手順への反映要否を判断します。調査範囲を確定できるなら再イメージ化と復旧へ進み、ログ不足で確定できない場合は同一部署や同一アクセス履歴を持つ端末まで監視範囲を広げます。
個人利用と法人管理下の対応差
時点 | 個人利用の端末 | 法人管理下の端末 |
|---|---|---|
15分以内 | 通信を切断し、画面と操作を記録 | 情シスへ連絡し、EDRまたは物理操作で隔離 |
1時間以内 | 安全な別端末でパスワード変更と全セッション失効 | IdPでアカウント停止、トークン失効、管理者権限確認 |
24時間以内 | フルスキャン、バックアップ確認、必要なら専門窓口へ相談 | 端末・通信・認証ログを相関分析し、同一IOCを全社検索 |
復旧時 | 必要に応じて初期化し、感染前のデータだけを復元 | 再イメージ化後に監視を継続し、原因となった制御を修正 |
社内報告テンプレート
利用者からの報告は、次の項目に統一すると初動の聞き取り時間を短縮できます。
発見日時と端末の資産管理番号
開いたURL、検索語、広告を経由したか
表示された画面と警告文
クリック、ダウンロード、コマンド貼り付けの有無
ネットワークを切断した時刻
ログイン中だったメール、SaaS、VPN
この6項目がそろえばURLと端末から横断検索を開始し、そろわない場合でも端末を隔離したままブラウザ履歴、DNSログ、EDRタイムラインから補完します。
▲ 感染疑い発生時における端末の物理隔離と電源操作の判断フロー
法人・個人・Web管理者のセキュリティ対策
ドライブバイダウンロード対策は、端末更新、通信遮断、実行制御、挙動検知、Web改ざん防止を重ねて設計します。
企業規模別の対策ロードマップ
企業規模が大きくなるほど、利用者の判断や手作業だけでは更新漏れと検知漏れが増えます。人数は目安であり、管理者アカウントや個人データを多く扱う企業では、一段上の対策を前倒しします。
企業規模 | 起きやすい課題 | 最初に整備する対策 | 次に追加する対策 |
|---|---|---|---|
50名未満 | 更新状況が個人任せ、専任者不在 | OS・ブラウザの自動更新、一般ユーザー権限、DNSフィルタリング、報告窓口 | マネージドEDR、クラウドバックアップ、端末台帳 |
50～300名 | 端末とSaaSの把握漏れ、拠点間の運用差 | MDM、EDR、集中ログ、アプリ許可制、Web改ざん検知 | SWG、IdP、MDR、管理者端末の分離 |
300名超 | 社外端末、直接インターネット接続、監視量の増加 | EDR/MDR、SWG、DNS防御、SIEM、ゼロトラスト型アクセス | ブラウザ分離、SOAR、脅威ハンティング、サンドボックス |
50名未満で端末を毎月棚卸しできるなら簡易台帳でも運用できます。50～300名で更新確認に漏れが出るならMDMへ移行し、300名を超えて社外利用が常態化するならEDRとSWGを全端末へ適用します。
端末と通信を守る多層防御
EPPは既知の不正ファイルを遮断し、EDRは侵入後の挙動を追跡します。SWGとDNSフィルタリングは、端末が攻撃サイトやC2サーバーへ接続する段階で通信を止めます。ブラウザ分離はWebコンテンツを端末外で実行し、未知のコードが業務PCへ直接届く範囲を狭めます。
すべてを同時に導入できない場合は、端末台帳と更新率を先に整えます。次に一般ユーザーの管理者権限を外し、DNS防御、EDR、SWGの順で可視化範囲を広げます。管理者権限を日常利用から分離すると、ClickFixで実行されたコードがシステム全体を変更できる範囲も抑えられます。
PowerShellとスクリプトの安全な制御
Webページ上のCAPTCHAやエラー画面がWin＋R、PowerShell、ターミナル、コマンド貼り付けを要求した場合は操作を中止するという教育ルールを設定します。社内IT部門が正規手順としてコマンドを案内する場合は、チケット番号、担当者、社内文書のURLを併記し、Web広告や外部ページの指示と区別します。
スクリプトを業務利用している企業では、全面禁止ではなく署名済みスクリプト、許可された保存場所、管理者用端末に限定します。監査モードで既存業務への影響を記録できれば制御を段階適用し、記録できなければ検証用グループから始めます。
Web管理者による踏み台化の防止
Web管理者は、CMS本体、テーマ、プラグイン、Webサーバー、管理画面を資産として一覧化します。使用していないプラグインは無効化だけでなく削除し、更新が終了した製品は代替製品へ移行します。
管理画面へ多要素認証とIP制限を適用します。
WAFで既知の攻撃パターンと不審な管理画面アクセスを遮断します。
HTML、JavaScript、設定ファイル、Webシェルの差分を外部から監視します。
Content Security Policyを設定し、許可していない外部スクリプトの読み込みを制限します。
Webコンテンツとデータベースのバックアップを本番環境と別の認証系に保管します。
管理者ログ、WAFログ、CDNログを時刻同期した状態で保存します。
WAFを導入しても、盗まれた正規管理者アカウントによる変更は通過する場合があります。改ざん差分を検知できるなら自動隔離と担当者通知へつなぎ、差分監視がない場合は少なくとも毎日のファイルハッシュ比較と外部URL監視を実施します。
ログ保存と検知ルールの設計
保存対象はEDRだけに限定しません。DNS、プロキシ、IdP、VPN、メール監査、Webサーバー、WAF、MDMを共通の時刻で検索できるようにします。保存期間を6か月とした場合でも、全端末の詳細ログを同じ粒度で保管すると費用が増えるため、高リスクログと通常ログで保存階層を分けます。
たとえば、EDRアラート、管理者操作、認証失敗、外部へのファイル送信は即時検索できる領域へ置き、通常の通信ログは圧縮ストレージへ移します。月1回、ClickFixを想定した検知テストを実行し、ブラウザからのPowerShell起動、難読化コマンド、未知ドメイン通信が記録されるかを確認します。3種類すべてを追跡できれば運用を継続し、欠けるログがあれば該当する製品設定または転送経路を修正します。
国内企業の公開導入事例
国内企業の公開事例では、製品導入そのものより、社内で処理しきれないアラートを外部監視と組み合わせる運用が見られます。以下の事例はいずれも各製品ベンダーが公開した導入事例に基づくものであり、中立的な第三者機関による検証結果ではありません。数値成果が公開されていない事例もあるため、導入社名を効果保証として扱わず、自社の監視体制と比較します。
企業・組織 | 業種・規模 | 課題 | 施策 | 公開事例から読み取れる成果 |
|---|---|---|---|---|
株式会社タニタ、株式会社ツムラ | 製造業・企業規模は各社公開情報に準拠 | 標的型攻撃や未知の不審挙動への対応 | Trend Vision OneとTrend Service Oneを活用 | EDRの可視化と24時間365日の監視・初動支援を組み合わせた体制（トレンドマイクロ公開事例より） |
鳥取県生活協同組合 | 生活協同組合・導入規模は公開事例に記載された範囲 | 専任要員が限られる環境でのランサムウェア対策 | LANSCOPE マネージドEDRを導入 | 検知後の調査と隔離判断を外部専門家と分担する運用（MOTEXの公開事例より） |
JFEスチール株式会社 | 鉄鋼業・大規模環境 | 未知マルウェアと重要端末の実行制御 | AppGuardによるプロセス起動と改ざんの制御 | 不審処理を実行段階で抑える防御層を追加（BluePlanet-works公開事例より） |
公開事例の製品名だけを模倣せず、自社で24時間監視できるなら内製EDR運用、夜間対応や分析要員が不足するならMDRを含む運用を選びます。導入前に、隔離権限、ログ保存期間、通知時間、誤検知時の復旧手順を評価すると、アラートだけが増える失敗を避けられます。
個人が実施する基本対策
個人利用では、OSとブラウザの自動更新、正規ストアの利用、パスワードの使い回し防止、多要素認証を組み合わせます。検索広告からソフトウェアを取得せず、ブックマークや開発元の公式配布ページを使います。
ブラウザ上の警告がサポート窓口への電話、遠隔操作アプリ、OSコマンドの実行を求めた場合はページを閉じます。閉じられない場合はブラウザを強制終了し、履歴とダウンロード一覧を確認します。コマンドを実行していれば、症状の有無にかかわらず通信切断とアカウント保護へ進みます。
端末・SaaS資産の一元管理
防御製品があっても、退職者アカウント、未管理端末、利用されていないSaaSが残れば侵入後の経路になります。50～300名規模では、IT資産管理ツールを活用して端末、利用者、SaaS、管理者権限を同じ台帳で関連付けます。
月次棚卸しで所有者不明の端末やアカウントが見つかれば停止対象にし、すべての所有者を特定できれば更新率とEDR適用率の確認へ進みます。資産台帳は導入製品を増やすためではなく、保護対象から漏れた端末をなくすために使います。
よくある質問
ドライブバイダウンロードに関する代表的な疑問へ、確認と対策の基準を簡潔に回答します。
Q：ドライブバイダウンロードに感染したか確認する方法は？
A：ブラウザの履歴だけでなく、同じ時刻に起動したプロセス、コマンドライン、通信先、SaaSのログイン履歴を確認します。Webページ上の指示でコマンドを実行した場合は、症状がなくても端末を隔離します。
Q：ClickFixはドライブバイダウンロード攻撃ですか？
A：ClickFixは、利用者自身にコマンドを実行させるソーシャルエンジニアリング型の関連攻撃です。脆弱性を使って閲覧だけで感染させる狭義のドライブバイダウンロードとは区別します。
Q：iPhoneやAndroidでも被害に遭いますか？
A：スマホもOSやブラウザの脆弱性を悪用される可能性があります。不審なプロファイルや正規ストア外アプリは別の感染経路ですが、端末管理設定、アプリ権限、通信量、ログイン履歴を確認する判断軸は共通です。
Q：ドライブバイダウンロードと水飲み場攻撃の違いは？
A：ドライブバイダウンロードは、Web閲覧を起点に端末へ不正コードを送り込む感染手法です。水飲み場攻撃は、特定の組織や業界の利用者が集まるサイトを改ざんして待ち伏せる標的の選び方を指します。
Q：会社では何から対策すべきですか？
A：最初に端末台帳、OS・ブラウザの更新率、管理者権限、ログ保存状況を可視化します。50名を超えて手作業の確認漏れが出るならMDMとEDR、300名を超えて社外利用が増えるならSWGと集中ログ管理を追加します。
まとめ
ドライブバイダウンロードは、改ざんされた正規サイトや不正広告を入口にするため、怪しいサイトを避けるだけでは防げません。ClickFixのような操作誘導型攻撃も区別して監視し、端末更新、最小権限、EDR、SWG、ログ保全、Web改ざん検知を重ねます。明日からの最初の一歩は、社用端末の更新率と管理者権限、DNS・認証・EDRログの保存期間を一覧化することです。欠けている項目が分かれば、緊急更新、権限分離、ログ転送の順に対策へ移せます。
参考文献
CISA「Known Exploited Vulnerabilities Catalog」 https://www.cisa.gov/known-exploited-vulnerabilities-catalog
ESET「ESET Threat Report H1 2025」 https://www.welivesecurity.com/en/eset-research/eset-threat-report-h1-2025/
Microsoft「Think Before You ClickFix」（2025年8月21日）https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/
JPCERT/CC「SQRootを用いたWebサイト改ざん攻撃の分析」（2024年12月）https://blogs.jpcert.or.jp/ja/2024/12/watering_hole_attack_part2.html
IPA「コンピュータウイルス・不正アクセスの届出状況」https://www.ipa.go.jp/security/todokede/crack-virus/index.html
個人情報保護委員会「個人データの漏えい等が発生した場合の対応」https://www.ppc.go.jp/personalinfo/legal/leakAction/
NIST「SP 800-61 Rev.2 Computer Security Incident Handling Guide」（2012年）https://csrc.nist.gov/pubs/sp/800/61/r2/final
Google「Google Play Protect」https://support.google.com/googleplay/answer/2812853?hl=ja
Microsoft「Windows Defender Application Control」https://learn.microsoft.com/ja-jp/windows/security/application-security/application-control/windows-defender-application-control/wdac
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
