Ein Drive-by-Download bezeichnet das unbewusste (engl. Drive-by: im Vorbeifahren) Herunterladen (Download) von Software auf den Rechner eines Benutzers. Unter anderem wird damit der unerwünschte Download von Schadsoftware allein durch das Anschauen einer dafür präparierten Webseite bezeichnet. Dabei werden Sicherheitslücken eines Browsers ausgenutzt, denn definitionsgemäß ist mit HTML-Inhalten und Browser-Skriptsprachen ein Zugriff außerhalb der Browser-Umgebung nicht möglich.
In vielen Fällen werden von den Angreifern gezielt Webseiten ohne Wissen der Betreiber manipuliert, etwa indem bekannte Schwachstellen bei verbreiteten Webanwendungen genutzt werden. Danach genügt der alleinige Besuch einer solchen Webseite (ohne dass eine Benutzeraktion notwendig wäre) und die Schadsoftware lädt sich automatisch auf den Computer des Benutzers.
IT-Sicherheits-Unternehmen berichten, dass eine Vielzahl von Webseiten durch schädliche Software infiziert sei. Diese Methode nehme seit 2007 ständig zu und habe mittlerweile E-Mail als Hauptverbreitungsmethode für Schadsoftware verdrängt, täglich kämen mehrere Tausend betroffene Webseiten hinzu.
Heute beinhalten Webseiten häufig dynamische Funktionen, die durch clientseitige Technologien wie JavaScript, Java, Adobe Flash oder Ajax realisiert sind. Diese Techniken erlauben während einer Session u.a. eine ständige Kommunikation zwischen Browser und Server, ohne dass der Benutzer eine Aktion durchführen muss. Dies wird unter anderem eingesetzt, um Werbebanner auszutauschen, Listen zu laden oder Daten an den Server zu übertragen. Üblicherweise werden diese Aktionen im Browser in einer Sandbox ausgeführt. Nur wenn der Browser eine Sicherheitslücke aufweist, kann Software aus dieser Sandbox direkt auf den Computer des Benutzers zugreifen. Somit ist es möglich, dass Schadsoftware ohne eine Aktion des Benutzers vom Server zum Browser und über die Sicherheitslücke im Browser auf den Computer des Benutzers gelangt.
Zum Schutz vor ungewollten Drive-by-Downloads hilft es immer die aktuelle Version des Browsers zu verwenden, sowie Plugins wie den Flash Player, sowie den Adobe Reader immer auf den neuesten Stand zu halten. Teilweise, insbesondere im kommerziellen Umfeld, werden diese Skriptsprachen auch auf Ebene der IT-Administration abgeschaltet oder gefiltert. Eine weitere Maßnahme besteht in Browser-Plugins, die Skripte jeweils nur nach Freigabe durch den Anwender zulassen, etwa NoScript oder FlashBlock für Firefox.