「怪しいファイルは開いていないし、何もダウンロードボタンを押していないから大丈夫」
これまでセキュリティ対策の基本といえば「不審なファイルやURLを開かないこと」でした。
しかし、その常識を覆す恐ろしいサイバー攻撃が「ドライブバイダウンロード（Drive-by Download）」です。
ドライブバイダウンロードの最大の脅威は、「ファイルをダウンロードしたから感染する」のではなく、「Webサイトを閲覧（アクセス）しただけで、裏で勝手にマルウェアがダウンロード・実行されて感染する」という点にあります。
本記事では、専門用語をなるべく噛み砕き、ドライブバイダウンロードの仕組みや主な感染経路、被害内容から、企業担当者が今すぐ取り組むべき現実的な対策まで詳しく解説します。
1. ドライブバイダウンロードとは？
閲覧しただけで感染する恐怖の攻撃
ドライブバイダウンロード（Drive-by Download）とは、ユーザーがWebサイトを閲覧した際、本人の許可や認識なしに、バックグラウンドで悪意のあるプログラム（マルウェア）を自動的にダウンロード・実行させるサイバー攻撃です。
ドライブバイ（Drive-by）は英語で「車で通りすがる」という意味を持ちます。
その名の通り、ユーザーがWebサイトに「立ち寄っただけ（通りすがっただけ）」で被害に遭ってしまうのが特徴です。
「怪しいファイルを保存した」「ポップアップのOKボタンをクリックした」といった人間の操作ミスが一切なくても攻撃が成立するため、ユーザー側がその場で感染に気づくことはほぼ不可能です。
2. ドライブバイダウンロードの仕組み
なぜ、ページを開いただけでプログラムが勝手に実行されてしまうのでしょうか。
その背景には、「ソフトウェアの脆弱性（穴）」が深く関係しています。
感染のメカニズム
- 不正なコードの埋め込み：攻撃者がWebサイトを改ざんし、悪意のあるJavaScriptなどのコードを仕込みます。
- Webサイトへのアクセス：ユーザーが該当のWebサイトを閲覧します。
- 脆弱性の探索：サイトに埋め込まれたコードが、アクセスしてきたユーザーのPC内にあるOS（Windows/Mac）、ブラウザ（Chrome/Edgeなど）、プラグイン（PDF閲覧ソフト等）のセキュリティ上の不具合（脆弱性）を自動で探索します。
- 勝手なダウンロードと実行：脆弱性が見つかると、その穴を突いてマルウェア本体をPC内部へ送り込み、ユーザーに気付かれないよう暗躍・実行させます。
このように、「OSやブラウザなどのソフトウェアが古いまま放置されていること（脆弱性）」が感染の決定的な引き金となります。
特に、修正パッチがまだ存在しない穴を狙う「ゼロデイ攻撃」と組み合わされると、防御が非常に難しくなります。
3. 主な3つの感染経路
ドライブバイダウンロードが仕掛けられるWebサイトには、主に以下の3つのパターンが存在します。
【アクセス】 ──> [ 改ざんサイト / 水飲み場 / 悪意ある広告 ]
│ (バックグラウンドで脆弱性を探索)
▼
[ 自動ダウンロード・感染 ]
① 改ざんされた一般的なWebサイト
セキュリティ対策が甘い企業の公式Webサイトや個人ブログ、ECサイトなどが攻撃者に乗っ取られ、ドライブバイダウンロードの罠が埋め込まれるケースです。
ユーザーは「普段から知っている正規のサイト」だと思ってアクセスするため、警戒心を抱くことができません。
② 水飲み場攻撃（特定の企業・業界を狙う手法）
ターゲット企業や業界の社員が日常的に閲覧する専門ニュースサイトや業界団体のポータルサイトをあらかじめ改ざんしておく手法です。ピンポイントで特定の組織を狙い撃ちにする標的型攻撃の一種として悪用されます。
③ 悪意のある広告（マルバタイジング）
大手ニュースサイトやポータルサイトなどに表示される「Web広告枠」を悪用する手口です。
正規の広告ネットワークを通じて悪質な広告を配信し、その広告が表示された（あるいは読み込まれた）だけで不正なサイトへ誘導され、自動感染させられます。
4. 感染するとどうなる？想定される企業の被害
もし社内のPCがドライブバイダウンロードによって感染してしまった場合、以下のような甚大なリスクが発生します。
- 社内ネットワーク経由での感染拡大：1台のPCが侵入経路となり、社内LANで接続された他の端末やファイルサーバーへ次々と感染が広がります。
- 機密情報や個人情報の漏洩：PC内に保存されている業務ファイルや、ブラウザに保存された各種クラウドサービスのログイン情報、顧客データなどが外部へ送信されます。
- ランサムウェアによる業務停止：勝手にダウンロードされたプログラムがランサムウェアだった場合、社内の重要データが一斉に暗号化され、業務が完全にストップする恐れがあります。
- 遠隔操作（ボット化）と加害化：PCが乗っ取られ、他の企業やサイトへサイバー攻撃を仕掛ける「踏み台（ボット）」として悪用されてしまうリスクがあります。
5. 企業が実施したい5つの対策
ドライブバイダウンロードは「怪しいファイルを開かない」という注意喚起だけでは防げません。システム面と運用面を組み合わせた「多層防御」が不可欠です。
1.1. OS・ブラウザ・アプリを常に最新状態（最新パッチ）に保つ:最も重要な基本対策。
ドライブバイダウンロードは「脆弱性」がなければ成立しません。Windows/Mac OSはもちろん、ChromeやEdgeなどのブラウザ、PDFリーダーなどのアプリを常に最新バージョンへ自動更新する運用を徹底しましょう。
2.2. EDR（次世代型アンチウイルス）を導入する:エンドポイント強化。
万が一、ゼロデイ攻撃等によって未知のマルウェアがダウンロードされてしまっても、PC内の不審な挙動を検知して即座に隔離・遮断できる「EDR（End-point Detection and Response）」の導入が有効です。
3.3. WebプロキシやWebフィルタリングを導入する:Webアクセス制御。
社内PCから危険なカテゴリのサイトや、改ざんのリスクが高い未評価サイトへのアクセスをブロックするフィルタリングツールを導入し、悪質なサーバーとの通信を遮断します。
4.4. 自社Webサイトのセキュリティ対策（WAF導入等）を行う:自社サイトの防衛。
自社サイトが改ざんされて「加害者（ドライブバイダウンロードの提供元）」にならないよう、CMSのアップデートやWAF（Web Application Firewall）の導入、定期的な脆弱性診断を行いましょう。
5.5. 従業員へのセキュリティ研修と報告体制の整備:セキュリティ教育。
「画面が急にフリーズした」「意図しない警告が出た」といった異常が発生した際に、すぐにLANケーブルを抜いて情報システム部に報告できるルールを徹底させます。
6. よくある質問（FAQ）
Q1. スマホ（iPhone/Android）もドライブバイダウンロードに感染しますか？
A1. 可能性はあります。
PCに比べるとアプリの実行制限（サンドボックス構造）が厳しいためリスクはやや低いですが、OSやブラウザの脆弱性が放置されている場合、スマホであっても悪質なサイトにアクセスしただけで不正な構成プロファイルがインストールされたり、マルウェアに感染したりする事例が存在します。
スマホのOS更新も必須です。
Q2. 危険なサイトを避けていれば防げますか？
A2. 防げません。
ドライブバイダウンロードの罠は、公的なWebサイトや有名企業が運営するポータルサイトなど、「普段から多くの人が安心して利用している正規のWebサイト」の改ざんによって仕掛けられるケースが非常に多いためです。
「安全そうなサイトだから大丈夫」という思い込みは危険です。
まとめ：ソフトウェアの「最新化」と「多層防御」で防ぐ
ドライブバイダウンロードは、「Webサイトを開いただけで感染する」という、人間の注意力だけでは防ぐことが難しい非常に厄介なサイバー攻撃です。
- ファイルのダウンロードボタンを押していなくても、閲覧しただけで自動感染する。
- OSやブラウザなどの「脆弱性（セキュリティの穴）」を突いて実行される。
- 「OSやブラウザの即時アップデート」「EDRによる不審挙動の検知」「Webフィルタリング」「自社サイトの改ざん防止（WAF等）」を組み合わせた対策が不可欠。
自社のPC環境でアップデートが滞っている端末がないか、今一度社内のシステム管理状況を確認してみましょう。
情報セキュリティ研修をご検討中の方へ
当サイトでは、企業・自治体向けに以下のサービスをご提供しています。
- 研修動画パッケージ（買い切り型）
- 講師派遣による対面・オンライン研修
- 社内啓発に活用できる無料「情報セキュリティ10箇条」ポスター
動画研修には、スライド一式・理解度確認テスト・研修実施報告書テンプレート・社内掲示用ポスターも付属しており、研修担当者の負担軽減にも役立ちます。
料金やカリキュラムの詳細は、[情報セキュリティ研修サービス一覧] をご覧ください。
