先生と生徒の会話形式で理解しよう

生徒

「エクスプロイトコードってニュースで聞いたけど、なんのことですか？」

先生

「エクスプロイトコードとは、ソフトウェアなどにあるセキュリティのスキ（脆弱性）を悪用するためのコードのことをいいます。」

生徒

「それってウイルスとは違うんですか？」

先生

「ウイルスとエクスプロイトコードは別のものですが、エクスプロイトコードはウイルスやマルウェアとセットで使われることもあります。詳しく見ていきましょう。」

情報セキュリティマネジメント試験を初めて学ぶ人でも、出題ポイントを押さえて効率よく対策したい人に向けた定番テキストです。

※ Amazonアソシエイト広告リンク

1. エクスプロイトコードとは？

エクスプロイトコードの読み方は、エクスプロイトコード（エクスプロイトコード）です。英語では「Exploit Code」と書き、「exploit」は「悪用する」や「利用する」という意味があります。

このエクスプロイトコードとは、パソコンやソフトウェアに見つかったセキュリティの欠陥（脆弱性：ゼイジャクセイ）を攻撃するためのコードやプログラムのことです。

たとえば、古いバージョンのソフトウェアにセキュリティホールが見つかると、それを突いて悪意のある操作をするコードが作られることがあります。それがエクスプロイトコードです。

2. エクスプロイトコードの使われ方と危険性

エクスプロイトコードは、次のような目的で使われます：

たとえば、メールに添付されたファイルを開いたとき、その中に仕込まれたエクスプロイトコードが動作して、勝手にウイルスがインストールされるようなケースがあります。

また、ウェブサイトを見るだけで感染する「ドライブバイダウンロード攻撃」にも、エクスプロイトコードが使われていることがあります。

エクスプロイトコードは、脆弱性があるからこそ成立します。脆弱性とは、ソフトウェアのバグ（不具合）やセキュリティの穴のことです。

たとえば、「ある操作をすると管理者権限で操作できてしまう」といった問題があると、その部分に対してコードを書いて不正にアクセスできるようにするのがエクスプロイトコードです。

つまり、脆弱性があるソフトウェアやOS（オーエス：基本ソフト）を放置しておくと、そこをねらって攻撃される可能性があるということになります。

マルウェアは、パソコンに悪い動作をさせる「悪意のあるソフトウェア」の総称です。たとえば、ウイルスやスパイウェア（読み方：スパイウェア）、ランサムウェア（読み方：ランサムウェア）などが含まれます。

一方、エクスプロイトコードは、そうしたマルウェアを送り込むための「きっかけ」になることがあります。たとえば、あるソフトウェアの脆弱性を突いて、そこからウイルスをインストールするという流れです。

つまり、エクスプロイトコード自体は単なるコードですが、それがマルウェアを呼び込む役割を持つことがあるため、非常に危険です。

エクスプロイトコードによる攻撃を防ぐには、次のような対策が重要です。

ソフトウェアやOSを常に最新の状態にアップデートする
脆弱性は、ソフトウェアのアップデート（更新）で修正されることが多いため、常に最新版を使うようにしましょう。
信頼できないファイルは開かない
メールの添付ファイルやダウンロードしたファイルは、送信元や内容をよく確認しましょう。
セキュリティソフトを使う
エクスプロイトコードの検出に対応したウイルス対策ソフトを利用することで、感染のリスクを下げられます。
怪しいサイトにはアクセスしない
不正なコードが仕込まれているサイトもあるため、知らないサイトは注意が必要です。