オープンリダイレクトを悪用した攻撃に該当するものはどれか。

選択肢

• アHTMLメールのリンクを悪用し、HTMLメールに、正規のWebサイトとは異なる偽のWebサイトのURLをリンク先に指定することによって、リンクをクリックした利用者を偽のWebサイトに誘導する。
• イWebサイトにアクセスすると URL中のパラメータで指定された他のWebサイトに遷移する機能を悪用し、利用者を偽のWebサイトに誘導する。
• ウインターネット上の不特定多数のホストからDNSリクエストを受け付けて応答するDNSキャッシュサーバを悪用し、Webサーバに大量のDNSのレスポンスを送り付け、リソースを枯渇させる。
• エ設定の不備によって、正規の利用者以外からの電子メールやWebサイトへのアクセス要求を受け付けるプロキシを悪用し、送信元を偽った迷惑メールの送信を行う。

正解と解説

正解：イ Webサイトにアクセスすると URL中のパラメータで指定された他のWebサイトに遷移する機能を悪用し、利用者を偽のWebサイトに誘導する。

オープンリダイレクトは、URLのパラメータで指定された任意の外部サイトへ利用者を転送してしまう実装上の不備である。攻撃者は正規サイトのドメインを含むURLを使いながら、最終的に偽サイトへ誘導できるため、利用者はドメインを見ても異常に気づきにくい。対策は遷移先を許可リストで限定するなど、外部からの指定を受け付けないことである。

選択肢ごとの解説

• ア偽サイトのURLを直接リンクに書くのは通常のフィッシングであり、リダイレクト機能の悪用ではない。
• イ正しい。パラメータで指定された他サイトへ遷移する機能を悪用して偽サイトへ誘導する攻撃である。
• ウオープンリゾルバを踏み台にして大量の応答を送り付けるのはDNSリフレクション攻撃である。
• エ設定不備のプロキシを踏み台にするのはオープンプロキシの悪用である。

この問題に出た用語

• オープンリダイレクト
• D2C（ダイレクト・トゥ・コンシューマ）
• オープンリゾルバ
• フィッシング

同じ分野の他の問題

• セキュリティ対策としてのCASBの利用方法とその効果はどれか。2025年度 秋期 午前Ⅱ 問20
• SAMLの説明として、最も適切なものはどれか。2025年度 秋期 午前Ⅱ 問17
• CRYPTRECの主な活動内容はどれか。2024年度 秋期 午前Ⅱ 問19
• X.509におけるCPS（Certification Practice Statement）はどれか。2024年度 秋期 午前Ⅱ 問17
• クリプトジャッキングに該当するものはどれか。2023年度 秋期 午前Ⅱ 問20