水飲み場攻撃（Watering Hole Attack）とは？仕組みや被害、企業が取るべき対策をわかりやすく解説

「自社のセキュリティ対策は万全だと思っていたのに、社員が日常的に見ている業界サイトから感染してしまった……」

サイバー攻撃の手口が年々巧妙化するなか、企業の強固なセキュリティを「外側からの迂回」によって破る手法として懸念されているのが「水飲み場攻撃（Watering Hole Attack）」です。

水飲み場攻撃は、ターゲット企業を直接攻撃するのではなく、「その企業の社員が日頃からよくアクセスするWebサイト」をあらかじめ乗っ取り、ウイルスを仕込んでおくという極めて悪質なサイバー攻撃です。

本記事では、専門用語をなるべく使わずにわかりやすく解説。

水飲み場攻撃の基本的な仕組みや怖さ、被害事例、そして企業担当者（情シス・総務・Web担当）が明日から取り組むべき現実的な対策まで網羅して解説します。

1. 3分でわかる「水飲み場攻撃」とは？

水飲み場攻撃とは、「攻撃対象のユーザーが日常的に閲覧する信頼性の高いWebサイトを改ざんして不正なプログラムを仕込み、訪れたユーザーを自動的にマルウェア（悪意あるプログラム）に感染させるサイバー攻撃」です。

特定の企業や業界をピンポイントで狙う「標的型攻撃」の一種として分類されます。

この名称は、肉食獣（ライオンなど）が獲物を捕まえる際、リスクを冒して獲物を追い回すのではなく、「獲物が必ず集まる水飲み場で待ち伏せして襲いかかる」という野生の習性に例えて名付けられました。

サイバー攻撃の世界でも同様です。

セキュリティが非常に強固な大企業の社内ネットワークを正面突破するのは骨が折れます。

そこで攻撃者は、その企業の社員が「情報収集のために毎日チェックしている業界ニュースサイト」や「関連団体のポータルサイト」などの「水飲み場」をターゲットにします。

あらかじめそのサイトに罠を仕仕掛けておくことで、社員が「いつものサイトだから安全だ」と油断してアクセスした瞬間に感染させてしまうのです。

水飲み場攻撃が他のサイバー攻撃と比べて特に防ぎにくく、危険とされる理由には以下の3つの特徴があります。

従来の標的型攻撃（標的型型メール攻撃など）は、怪しい添付ファイルを開かせたり、偽のURLをクリックさせたりする「人間の不注意」を誘うものが主流でした。

しかし、水飲み場攻撃では「社員が普段から業務で使っている正規のWebサイト」が舞台となるため、ユーザー側が不審な点に気づくのは極めて困難です。

改ざんされたWebサイトには、ブラウザの脆弱性（穴）を突く特殊なプログラムが埋め込まれています。

ユーザーがページを開いた瞬間、画面上は何の変化も起きていないように見えても、バックグラウンドで勝手にマルウェアがダウンロード・実行されてしまいます。

攻撃者は、まだ修正プログラム（パッチ）が配布されていないソフトウェアの穴を突く「ゼロデイ攻撃」と水飲み場攻撃を組み合わせることが多くあります。

これにより、従来のウイルス対策ソフト（パターンマッチング型）をすり抜けて侵入されてしまうケースが後を絶ちません。

もし自社の社員が水飲み場攻撃の被害に遭ってしまった場合、以下のような甚大な損害が発生するリスクがあります。

社内ネットワークへの侵入と感染拡大：1台のPCが感染すると、社内LANを通じて他のPCやサーバーへと感染が広がり、ネットワーク全体が制御不能に陥ります。
機密情報・個人情報の漏洩：PC内に保存されたファイルだけでなく、業務システムへのログイン情報が奪われ、顧客情報や技術データ、財務情報などの機密情報が丸ごと外部へ流出します。
ランサムウェア感染による業務停止：社内データが一斉に暗号化され、身代金を要求されるランサムウェア被害に発展し、何日も業務がストップしてしまう恐れがあります。
「自社サイトが水飲み場にされる」被害：もし自社でWebサイトや業界ポータルを運営している場合、自社サイトが攻撃者に乗っ取られ、自社の取引先や顧客を感染させる「加害者の立場」になってしまう可能性もあります。