中小企業のセキュリティー対策 Vol.7 サイト改ざんで加害者に

セキュリティ会議所ニュース2017年10月11日号

2017/10/11

CMSを悪用した被害が急増

ウェブサイトは今や企業にとって事業案内や求人、製品・サービスの訴求など多岐にわたる役割を果たし、事業運営に不可欠な存在である。しかし、ウェブサイトが改ざんされる被害が後を絶たず、企業はウェブサイトの役割を最大限生かしつつ、安全に運用する難しさに直面している。

ウェブサイトが改ざんされると、政治的主張などを掲載されたり、ウイルス配布に悪用されたりする。ウイルス配布に悪用された場合、見た目では分からないようにウイルスやウイルス配布サイトへのリンクをウェブサイトに埋め込まれるため、ウェブサイトの管理者や利用者が気付くのが遅れ、長期間にわたって利用者がウイルスに感染するなどの被害を与え続けることになる。このようにウェブサイト改ざんは、改ざんされた企業が被害に遭うだけでなく、加害者になってしまう深刻な問題である。

近年、被害報告の中でも増えているのが、WordpressやJoomla!などのCMS(コンテンツマネジメントシステム)で構築されたウェブサイトである。CMSを利用すると、ウェブサイトのコンテンツ作成・更新・管理が容易であるため、中小企業でも利用する企業が増えている。しかし、CMSを初期設定のまま利用したために管理画面に不正アクセスされたり、CMSやCMSの拡張機能(プラグイン、テーマ)の脆弱(ぜいじゃく)性が報告されても放置したままで利用したりすることで攻撃を受けていたりする。

CMSの脆弱性情報が公表された場合、そのCMSで構築されたウェブサイトは一律で攻撃を受け、改ざんの被害が急増する恐れがある。本年2月に発生したWordpressの脆弱性を突いた攻撃では、脆弱性の公表から2週間で150万件を越えるウェブサイトが改ざん被害にあったと報道されている。

できるだけ早くアップデートを

CMSを用いたウェブサイトの改ざん対策として、以下の対策を実施することを推奨する。

①ソフトウエア(CMSや拡張機能を含む)の脆弱性対策をする

脆弱性情報が公開された場合、できるだけ早くアップデートする必要がある。ただし、利用しているサーバーの契約によっては、ウェブサイト運営者自身でアップデートできない場合があるので、ウェブサイト構築に当たり事前に契約内容を確認しておきたい。また、ソフトウエアの脆弱性は、CMSや拡張機能だけに限った話ではない。OSやサーバーソフトウエアなどサーバーに組み込まれている全てのソフトウエアの脆弱性情報に注意する必要がある。