オープンリダイレクトとは？おーぷんりだいれくと
オープンリダイレクトとは、転送先のURLを外部から自由に指定できてしまう実装上の欠陥。正規ドメインで始まるURLのまま利用者を任意の外部サイトへ飛ばせるため、リンクの見た目で本物かを判断する利用者を偽サイトへ誘導する、フィッシングの踏み台として悪用される。
最終更新：2026-10-06
この語が出る過去問を解く →背景
ログイン後に元のページへ戻す、外部リンクを開く前に注意画面を挟むといった機能は、転送先をパラメータで受け取る作りにすれば素直に実装できる。ところが受け取った値をそのまま信じて転送すると、その素直さが欠陥に変わる。入力値の検証はデータベースへ渡す値だけでなく、転送先のURLのように制御に使う値にも及ぼす必要がある、という例として問われる。
具体例
正規ドメインで始まるリンクをメールに載せ、末尾のパラメータで偽のログイン画面を指定して送りつける手口がある。利用者は先頭のドメイン名を見て本物と判断してしまう。対策は転送先をあらかじめ定めた許可リストに限る、あるいは自サイト内の相対パスしか受け付けないことである。
試験での引っ掛け
XSSやCSRFとの区別が本命で、スクリプトを埋め込むのがXSS、ログイン済みの利用者に意図しない操作をさせるのがCSRF、こちらは転送先だけを操作する。被害が生じるのは誘導された利用者側で、自サイトのデータが改ざんされるわけではないため、影響範囲の見積りを取り違えやすい。
関連用語
出た過去問
出典：令和3年度 秋期 応用情報技術者試験 午前 問44（IPA）
オープンリダイレクトを悪用した攻撃に該当するものはどれか。
正解：Webサイトにアクセスすると自動的に他のWebサイトに遷移する機能を悪用し、攻撃者が指定した偽のWebサイトに誘導する。
要点：オープンリダイレクトは正規サイトの転送機能で偽サイトへ誘導する
オープンリダイレクトとは、外部から与えられたURLへ検証せずに転送してしまうWebサイトの脆弱性である。攻撃者はこの正規サイトのURLを入口に使い、利用者を気づかせないまま偽サイトへ誘導する。正規ドメインのリンクに見えるため利用者が信用しやすく、フィッシングの踏み台にされる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。