WordPressへの不正アクセスは交通事故のようなもの。ちゃんとしてても起こるときには起こる

ボクのまわりで起こったWordPressへの不正アクセス3件

WEBディレクターの金川です。
さて今日は少々WEBディレクターらしい?記事を書いてみようと思います。

ここ2か月ほどの間にボクのクライアントさんの中で、立て続けに3件WEBサイトのハッキング被害がありました。

セキュリティ的な問題と名誉の問題があるので、具体的なことは書けませんが実際にあったことです。

 

1件目:いたずらレベルの不正アクセス

1件目は、WordPressに不正アクセスされて、プログラムを改ざんされてWordPressが不審な動きをするようになったんです。

エックスサーバーに調査を依頼したところ、改ざんされたファイルが2個発見されました。
この時のエックスサーバーの対応は素早く信頼できるものでした。

改ざん内容もこういってはなんですが「いたずら」レベルのものだったようで、改ざんされた2つのファイルを元の状態に上書きすることで問題は解消しました。

その後は元通りちゃんと動くようになって本当によかった。
そして復旧に要する作業も、ボク的にはさほど難しいものではなく、ちょっと変な言い方かもしれないけど、助かったというのが正直なところなんです。

不正アクセスされた原因は正直なところ不明です。
WordPressのバージョンの中で、セキュリティ的な穴があるとされた「4.7.0」「4.7.1」ではなく、パスワードも複雑なものだったので、それ以外の問題があったのかどうか。

2件目:強い悪意を感じる不正アクセスと大規模な改ざん

2件目ですが、これは相当深刻な事態でした。
詳しくは別の機会に紹介するつもりですが、不正アクセスによるデータの改ざんのレベルが1件目とは段違いでした。

WEBサイトの見た目には全く問題がないのに、知らぬ間に深い階層でデータが大幅に書き換えられていたんですね。

見た目ではわからないので、オーナーさん自身では気の付きようがなくて、Googleの検索結果で「危険な状態である」と表記されたのを見て初めて発覚したんです。

サーバー会社にヘルプを求めて、改ざんされたファイルを特定してもらったんですが、そのファイル数が半端なボリュームではなく、またそれらを復元したとしても元に戻る保証なんてありません。

最終的にはサーバーの有料サービスを利用して保存されていた、WordPress全体のフルバックアップファイルを適用して、さらにはあんなことこんなことをして復旧したわけです。

この件ではボクが対応できるレベルを超えていたので、ボクが頼りにしている外部のプログラマーの助けを借りて、どうにかWEBサイトを元の状態に復旧させることができました。

ただいろんな要因と事情によって、約15日前のとったバックアップファイルを使ったので、その15日の間に作成した記事データは復元することができませんでした。

残念ではありますが、全滅の可能性さえ覚悟していたので、そうなることと比べれば何ということもないことです。

この件についてはハッキングされた原因の一つではないかという、心あたりは見当たりました。

WordPressのバージョンには問題はありませんでした。
ただログインパスワードが単純だったというのが正直なところです。

あくまで例えばですがこんな感じです。

ドメイン:shidenkai.jp

ユーザー名:shidenkai

パスワード:shidenkai99

説明不要だと思いますが、容易に破れそうですよね。
人間でも推測できるのだから、悪い人たちが恐らく使っているロボットなら、簡単に破ることができるんだろうなあと推測できます。

これが原因だと特定できたわけではありませんが、可能性は十分にありそうです。

3件目:不正アクセスによる障害に対して対策実行中

さて3件目ですが、これは現在進行形で絶賛対策行動実施中です。

数日前にWordPressにアクセスしようとしたところ、画面が真っ白になって何も表示されなくなりました。
表の画面だけではなく管理画面(ダッシュボード)にもアクセスできない状態です。

このような状態になるのはいろんな原因が考えられまして、プログラム的な問題が一番に考えられます。
しかし今回はそれは該当しなかったんですね。

オーナーさんにサーバー管理会社(エックスサーバーではない)に確認をとってもらったところ、不正アクセスが確認されて、サーバー管理会社側で改ざんファイルの削除とWordPressの最新バージョンへの移行をしてもらったそうです。

しかし現状ではプログラム的な問題があって正しくは表示されてはいない状態です。
なので現在進行形で絶賛対策行動実施中なんです。

ただ現時点でのボクの感触としては、なんとかなるんじゃないかなと思っています。たぶんね。

この件でも、WordPressのバージョンには問題がなく、パスワードも非常に複雑で推測できるものではありませんでした。
ゆえに不正アクセスの原因は不明なんです。

ちゃんとしてても不正アクセスは完全には防げない

WordPressユーザーにとっては、何だか恐ろしげな不安になっちゃうようなお話ですよね。
でもボクにとっては何ら驚くことではなくて、誰にでも起こり得うることだと思っています。

いわば交通事故のようなもので、いい加減なことをしていれば、もちろん事故にあう可能性は高まりますが、逆にちゃんとしていても交通事故にあう確率はゼロではないですよね。

WordPressを不正アクセスされるのも上記の通り交通事故にあうのと同じだなと思います。
ちゃんとしていてても起こる時には起こる。

では、それに対してどんな備えをすればいいのか?

答えは明日に続きます。

WEB master Profile

金川豊
金川豊
(かながわ ゆたか)
WEBディレクター。
有限会社紫電改 代表
中小企業・商店さんが自分自身で積極的に情報発信し、お客様との関係性を深めて商売繁盛につなげていくことを支援します。
それらを実現させるためにWordPressを活用して、自分で編集更新できるホームページおよびブログサイトの制作および自主制作のための講座を開催。
趣味は折りたたみ自転車であちこち行くこと、MTBで里山をサイクリングすること。楽しいですよ。