エクスプロイト（Exploit）

エクスプロイト（Exploit）とは、システムやアプリケーションの脆弱性を悪用するための攻撃手法のことです。脆弱性を悪用する攻撃自体を指してエクスプロイトと呼ぶ場合もあります。

攻撃手法としてのエクスプロイトは、あるシステムやアプリケーションの脆弱性を利用するためのソフトウェアやデータ、またはコマンドのいずれかを指しているのが一般的です。一方で脆弱性を悪用するソフトウェアのソースコードは、「エクスプロイトコード」とも呼ばれます。なお、文脈によっては「エクスプロイト」が「エクスプロイトコード」の意味でも使われることもあります。

エクスプロイトは、「PoCエクスプロイト（コード）」という形で登場することもあります。「PoC（Proof of Concept）」とは「概念実証」を意味する言葉で、「ポック」とも呼ばれます。脆弱性の文脈においてPoCエクスプロイトは、脆弱性の存在や脆弱性が悪用可能であることを実証するための検証用コードを意味しています。

PoCエクスプロイトは主にセキュリティ研究者などによって公開される検証用のエクスプロイトであり、本来は悪意ある攻撃に使うことを意図したものではありません。ただ、攻撃者の中にはPoCエクスプロイトを実際の攻撃に悪用しようと試みる者もいます。このため、PoCエクスプロイトがGitHubやセキュリティブログなどに公開されている脆弱性については悪用のリスクが高まると考えられており、優先的な対策が推奨されています。

一方で、攻撃目的で作成されたエクスプロイトは、アンダーグラウンドフォーラムやダークウェブのマーケットなどで売買されることもあります。既知の脆弱性を悪用するエクスプロイトが出回ることもあれば、「ゼロデイエクスプロイト」と称されるものが売りに出されるケースも報告されています。なお、ゼロデイエクスプロイトとはゼロデイ脆弱性を悪用するエクスプロイトのことです。

ゼロデイを発見するには高度な脆弱性調査能力が必要となり、エクスプロイト開発のコストも高くなるため、ゼロデイエクスプロイトは国家支援型アクターやAPTグループ、スパイウェア開発企業など、豊富な技術とリソースを有する主体によって開発されることが多いとされています。

マルウェアの中にはエクスプロイトコードを内部に備えたものもあります。また、複数のエクスプロイトを組み合わせて脆弱性を悪用してマルウェアを配布する攻撃ツールは、「エクスプロイトキット」と呼ばれます。