基本情報技術者試験 - 令和5年1月修了 - 問36

オープンリダイレクトを悪用した攻撃に該当するものはどれか。

ア	HTMLメールのリンクを悪用し，HTMLメールに，正規のWebサイトとは異なる偽のWebサイトのURLをリンク先に指定し，利用者がリンクをクリックすることによって，偽のWebサイトに誘導する。
イ	Webサイトにアクセスすると自動的に他のWebサイトに遷移する機能を悪用し，攻撃者が指定した偽のWebサイトに誘導する。
ウ	インターネット上の不特定多数のホストからDNS リクエストを受け付けて応答するDNSキャッシュサーバを悪用し，攻撃対象のWebサーバに大量のDNSのレスポンスを送り付け，リソースを枯渇させる。
エ	設定の不備によって，正規の利用者以外からの電子メールやWebサイトへのアクセス要求を受け付けるプロキシを悪用し，送信元を偽った迷惑メールの送信を行う。

◀ 問35　|　▲ 令和5年1月修了問題一覧　|　問37 ▶

答え：イ
分野：テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ
解説：
「オープンリダイレクト」とは，Webサイトにアクセスした際に自動的に別のWebサイトへ転送（リダイレクト）する機能を悪用し，攻撃者があらかじめ用意した偽のWebサイトへ利用者を誘導する攻撃手法です。正規のWebサイトのリダイレクト機能を経由するため，利用者はリンク先が正規のサイトであると信じやすく，フィッシング詐欺などに悪用されることがあります。正解は「イ」です。

「ア」は，HTMLメールのリンクに偽のURLを直接指定して誘導する手法についての説明であり，これはオープンリダイレクトを利用したものではなく，単純なフィッシングメールの手口に近い内容です。

「ウ」は，DNSキャッシュサーバを悪用して大量のDNS レスポンスを攻撃対象に送りつける攻撃についての説明であり，これはDNSリフレクション攻撃と呼ばれる別の手法です。

「エ」は，設定不備のあるプロキシを悪用して送信元を偽った迷惑メールを送信する手口についての説明であり，こちらもオープンリダイレクトとは異なる攻撃です。