水飲み場攻撃 みずのみばこうげき
簡単に言うとこんな感じ！
ライオンが獲物を直接追いかけるのではなく、動物が必ず立ち寄る「水飲み場」でこっそり待ち伏せするイメージだよ。ターゲットがよく見るWebサイトをあらかじめ罠付きに改ざんしておいて、訪問してきた瞬間にマルウェアを感染させる攻撃なんだ！
水飲み場攻撃とは
水飲み場攻撃（Watering Hole Attack）とは、攻撃者が標的とする組織や人物が日常的に訪問するWebサイトを事前に不正に改ざんし、そのサイトを訪れたユーザーのPCにマルウェアを自動的に感染させる標的型サイバー攻撃の手法です。名前の由来はサバンナの肉食獣が獲物を待ち伏せする「水飲み場（Watering Hole）」で、獲物がいずれ必ずやってくる場所を狙うという戦略そのものです。
直接メールを送りつけるフィッシング攻撃と異なり、ユーザーが「いつも使っている信頼できるサイト」を訪問するだけで感染が完了するのが最大の特徴です。業界団体のポータルサイト、業務で頻繁に使うベンダーのサポートページ、社員が毎日チェックするニュースサイトなどが標的になりやすく、セキュリティ意識の高い担当者でも気づきにくい点が厄介です。
攻撃者はまず「どのサイトなら標的が必ず訪れるか」を徹底的に調査し、そのサイトの脆弱性を突いて改ざんを仕込みます。利用者がサイトを開くだけでブラウザやプラグインの脆弱性が悪用され、ドライブバイダウンロード（ユーザーが何もダウンロードしていないのにファイルが勝手に実行される手法）によってマルウェアが侵入します。
攻撃の仕組みとステップ
| ステップ | 攻撃者の行動 | 被害者側の状況 |
|---|---|---|
| ① 調査 | 標的が頻繁に訪問するサイトをリサーチ | 普段通りサイトを利用 |
| ② 侵入 | 対象サイトの脆弱性を突いてサーバーに不正アクセス | 気づいていない |
| ③ 改ざん | 悪意あるスクリプト（JavaScriptなど）を埋め込む | 見た目は変わらない |
| ④ 待伏せ | 標的が訪問するまで待機 | サイトを普段通り閲覧 |
| ⑤ 感染 | 訪問者のブラウザ・プラグインの脆弱性を悪用して自動実行 | 何もしていないのにマルウェアが侵入 |
| ⑥ 潜伏 | バックドアを設置し長期間潜伏・情報窃取 | しばらく気づかない |
覚え方のコツ
「水飲み場 ＝ 待ち伏せ型」と押さえるのがポイント。フィッシングは「こちらから罠を届ける・攻め型」、水飲み場攻撃は「相手が来るのを待つ・守り崩し型」と対比で覚えると整理しやすいです。
よく狙われるサイトの種類
- 業界団体・官公庁のポータルサイト（業界関係者が必ず訪れる）
- 業務システムのベンダーサポートページ（エンジニアが頻繁にチェック）
- 業界専門のニュースサイト・フォーラム
- 取引先や関係会社のコーポレートサイト
- セキュリティ製品のアップデート配信ページ（逆に悪用される皮肉なケース）
歴史と背景
- 2012年頃〜：セキュリティ研究者のRSA Securityが「Watering Hole Attack」と命名・概念を整理。標的型攻撃の亜種として認識が広まる
- 2012年：米国の人権団体・シンクタンクのWebサイトが改ざんされ、訪問者（政府関係者や研究者）が狙われた事例が報告される
- 2013年：Apple・Facebook・Twitter・Microsoftの開発者が訪れるiOSデベロッパー向けフォーラムが改ざんされ、各社社員のMacが感染（iPhoneDevSDKフォーラム事件）
- 2014年以降：国家レベルの攻撃グループ（APT）による産業スパイ目的での使用が多数報告される
- 2017年〜現在：サプライチェーン攻撃との組み合わせ（ソフトウェア配布サイトの改ざん）が増加。手口が高度化・巧妙化している
- 背景にある理由：標的への直接攻撃（スピアフィッシングメール）に対するリテラシーが上がった結果、攻撃者が「人を直接騙すより信頼サイトを汚染する方が確実」と戦術を転換したことが普及の要因
フィッシング・スピアフィッシングとの違い
水飲み場攻撃は標的型攻撃の一種ですが、似て非なる手法と比較すると特徴がよくわかります。
実務上の注意点として、水飲み場攻撃は「自分が何もしていないのに感染する」という点が特に厄介です。「怪しいメールのリンクを踏まない」という一般的なセキュリティ教育だけでは防げません。
主な対策
- ブラウザ・プラグイン（Java、Flash等）を常に最新版に保つ（脆弱性の悪用を防ぐ）
- EDR（Endpoint Detection and Response）の導入（感染後の不審な挙動を検知）
- ネットワーク監視・不審な通信のブロック
- 取引先・業界サイトへのアクセスにサンドボックス環境を使う
- Webフィルタリングで不審なスクリプトの実行をブロック
関連する規格・RFC
| 規格・フレームワーク | 内容 |
|---|---|
| MITRE ATT&CK T1189 | Drive-by Compromise（水飲み場攻撃を含む）として分類・定義 |
| NIST SP 800-83 | マルウェアインシデント対応ガイドライン |
| IPA「標的型サイバー攻撃対策」 | 国内向け標的型攻撃の対策指針・事例集 |
関連用語
- フィッシング攻撃 — 偽サイトや偽メールでパスワード等を騙し取る攻撃手法
- スピアフィッシング — 特定個人を狙い、実在の情報を使って巧妙に騙すフィッシングの上位版
- マルウェア — ウイルス・ランサムウェアなど悪意あるソフトウェアの総称
- ドライブバイダウンロード — Webページを閲覧するだけでマルウェアが自動ダウンロード・実行される攻撃
- APT（高度持続的脅威） — 国家・組織レベルの攻撃者による長期潜伏型の標的型攻撃
- サプライチェーン攻撃 — ソフトウェアや取引先経由でシステムに侵入する攻撃手法