WordPressサイト改ざん等の被害事例とセキュリティ対策

2018/08/27

WEBサイトのセキュリティ対策は必要性が伝わらないことも多いので、ここでは実際の被害事例の紹介を通してその重要性をお伝えします。特にWordPressサイトは自分が関わる機会も多く、またセキュリティ対策が不十分なサイトを見かけるので、今回はWordPressに絞って紹介します。

WEBサイトのセキュリティの重要性

WEBサイトが被害を受けるとサイトを運営する運営者や企業の信用を傷つけ、売上などの成果を落とすことにもつながります。被害を受けたサイトのお問合わせや注文などのフォームに個人情報を入力することをためらうユーザーも多いでしょう。

また、ここではWordPressを中心に紹介しますが、WEBサイトのセキュリティの重要性はWordPressに限ったものではありません。

そしてWEBサイトへの攻撃は大企業も個人サイトも関係なく無差別に行われるものが多くあります。

つまりどのようなWEBサイトでも、セキュリティ対策が不十分であれば被害に合う可能性があるということです。WEBサイトの環境ごとに適切なセキュリティ対策を施して、安全なサイト運営を行ってください。

自分のサイトに他のスパムサイトを表示させられたり、広告リンクを挿入される事例です。

上記記事は、野良人で実際に対応した改ざん被害の事例です。海外のアダルト系商品サイトへのリンクが表示されるというものです。

その他、同種の改ざん被害は多数報告されています。明らかな改ざん以外にも表面的には変化がなく、ソースコードを見なければ分からないというパターンも多くあるようです。

テロ組織などによってサイトを改ざん被害を受けた事例として、サイトに以下のような画像に書き換えられた例です。

第三者によるユーザーサイトの改ざん被害に関するご報告 – レンタルサーバーならロリポップ！サイトのタイトルを書き換えられたり、「ハッキングしたよ」といった意味合いのテキストを表示されるなどの改ざん被害が大規模に発生して話題になった案件です。サーバ会社の対応も別の意味で話題になりました。

上記ロリポップの案件で実際に被害にあった方による報告です。

自分の管理するサイトのドメインから、知らないうちに大量の迷惑メールを送信されてしまう事例です。

参考画像：サーバー管理画面を確認すると数千件のメール送信履歴が確認された事例（引用：WordPressで踏み台にされたから対策をしてみた）

下記資料によるとエックスサーバーでは、実際に観測された被害のうち7割超がメール送信に利用されるというものだったそうです。

サイト閲覧者に感染するウイルスを埋め込まれる事例です。自分のサイトが、ウィルスを拡散させる発信源になってしまうと、自分だけではなく閲覧した多くのユーザーにも被害を拡大させてしまいます。

WordPressが特別に危険ということはない。どのようなWEBサイトでも、セキュリティ対策が不十分であれば被害に合う可能性がある。
世界の30％超のWEBサイトがWordPress製で、ユーザー数が非常に多いため、WordPressを対象とした攻撃も多くなる。
適切なセキュリティ対策ができていなかったり、保守管理を怠ったサイトが被害を受けている。
機能が多く複雑なシステムになるほど、脆弱性が発生しうる箇所が増える→複雑な機能を必要とせず、ほとんど更新をしないのであればWordPressではなく静的HTMLサイトの方が安全。
WordPressサイトも適切なセキュリティ対策と保守管理によって安全に運営することができる。