なぜ踏み台にされた管理者は気づかないのか

少し想像してみてください。

あなたが毎朝開くWordPressの管理画面。今日も問い合わせが1件入っています。記事のアクセス数も変わりない。サイトは普通に動いている。

でも、その同じサーバーの中で、まったく別のことが起きていたとしたら？

攻撃者が「壊さない」理由

多くの人はハッキングを「サイトが壊される」「画面が書き換わる」イメージで捉えています。映画の影響もあるかもしれません。

でも現実の攻撃者の目的は、ほとんどの場合、壊すことではありません。

静かに使い続けることです。

壊してしまえばすぐに気づかれる。気づかれれば対処される。使えなくなる。

だから攻撃者はあなたのサイトを表面上そのまま維持しながら、サーバーの深部だけを自分たちのために使います。スパムを送る。他のサイトを攻撃する中継点にする。フィッシングページを置く。それらはすべて、あなたのWordPressの管理画面には一切表示されません。

実際に管理者が踏み台に気づくのは、だいたい以下のいずれかです。

① Googleから警告が出る 「このサイトは危険です」という赤い画面。これはGoogleがサイトを危険と判定した後に表示されます。この時点で、訪問者は誰もあなたのサイトにアクセスできない状態になっています。

② 取引先から電話が来る 「御社のサーバーから大量の攻撃が来ているのですが」。これは踏み台として利用され、そのことが被害側に記録されて初めて発覚するパターンです。

③ メールが届かなくなる 送信しているはずのメールが相手に届かない。調べると、あなたのサーバーのIPアドレスが世界的なブラックリストに登録されていた、という状況です。スパム送信の踏み台にされた結果です。

④ サーバー会社からアカウント停止の通知 気づいたら「規約違反のためアカウントを停止しました」というメールが届いている。

共通しているのは、侵害されてからかなりの時間が経過した後にしか分からないということです。そしてその間ずっと、あなたのサーバーは第三者のために働いていました。

攻撃者はあなたのサイトを特別に狙ったわけではありません。

自動化されたツールが、24時間365日、世界中のWordPressサイトを片っ端からスキャンしています。古いプラグインを使っているサイト、更新が止まっているサイト、管理画面のURLが初期設定のままのサイト。これらに自動的にアクセスを試み、入れそうなら入る。それだけです。

あなたのサイトが有名かどうかは関係ありません。規模も関係ありません。「隙があるかどうか」だけが基準です。

ここ数年、こんな相談が増えています。

「サイトを作ってもらった会社が突然なくなってしまった。パスワードも分からない。どうすればいい？」

このとき、サイトは引き続き動いています。ドメインの自動更新も続いている。でも誰もWordPressにログインできない。プラグインは古いまま。脆弱性が発見されても誰も対応できない。

攻撃者の視点では、これは理想的な標的です。侵害しても誰も気づかない。誰も対処しない。永続的に使える拠点になる。

税理士、社労士、行政書士、弁護士のサイトには、お問い合わせフォームや相談予約の機能があることが多い。そこに入力されるのは、クライアントの氏名、連絡先、相談内容です。

もしそのサイトが踏み台にされていたら？

個人情報が漏洩した場合、法人であれば会社としての損害賠償になりますが、個人事業主・士業は個人の全財産で責任を負います。さらに守秘義務違反として懲戒処分・資格剥奪のリスクも生じます。

「うちのサイトは小さいから大丈夫」ではなく、「小さいからこそ管理が行き届いていない」と捉えてください。

選択肢は大きく3つです。

① 今のWordPressを適切に管理し続ける プラグインを常に最新に保ち、定期的なセキュリティチェックを行う。信頼できる保守会社が必要です。その会社がなくなったら、また同じ問題が起きます。

② SaaSに移行する Squarespaceなどのクラウドサービスは、セキュリティパッチを自動で当ててくれます。ただし、自由度の制約とコストが発生します。

③ 静的サイトに移行する データベースもPHPも持たない静的HTMLベースのサイトは、WordPressの主要な攻撃経路そのものが存在しません。更新の必要がなく、管理者がいなくなっても動き続けます。

どれが正解かは状況によります。ただ、何もしないことだけは選択肢ではありません。

このテーマについての基本的な疑問は、[FAQページ]にまとめています。具体的な状況についてのご相談は、お問い合わせからどうぞ。