ホームページの改ざん対策｜中小企業のサイトで最低限やること
「うちのような小さな会社のホームページが狙われるはずがない」。そう考えている経営者は少なくありません。けれども、ホームページの改ざんの多くは、会社を選んで狙うのではなく、機械で弱い所のあるサイトを探し、見つかったものを片っ端から書き換える形で起きます。会社の大きさは関係ありません。
改ざんされると、見に来たお客様が別の危ないサイトに飛ばされたり、パソコンがウイルスに感染したりするおそれがあります。会社の信用にも関わります。この記事では、自社のホームページの管理を任されている担当者と経営者に向けて、最低限やることと、改ざんに気づく方法、改ざんされたときの対処をまとめます。
改ざんで何が起きるか
| 起きること | 例 |
|---|---|
| 見た目の書き換え | トップページに関係の無い文字や画像が出る |
| 別のサイトへの誘導 | ページを開くと、勝手に別のサイトに飛ばされる |
| 見えない所への埋め込み | ページの裏に、危ないサイトへつなぐ仕掛けが入れられる |
| 迷惑なページの追加 | 見覚えのないページが大量に作られ、検索の結果に出る |
| 問い合わせフォームの悪用 | フォームから大量の迷惑メールが送られる |
JPCERT/CC の注意喚起（2013年）では、改ざんされたサイトの多くに、攻撃サイトへ誘導する仕掛けが埋め込まれ、閲覧した人のパソコンがウイルスに感染するおそれがあったと報告されています。見た目に変化が無いまま、裏で仕掛けが動いていることもあるので、表示に変わりが無いからといって安心はできません。
改ざんの主な原因
- 古い仕組みや部品を使い続けている：WordPress の本体、プラグイン、テーマに弱い所が見つかり、直した版が出ているのに更新していない
- パスワードが弱い、使い回している：管理画面やサーバーのパスワードを推測されたり、ほかのサービスから漏れたものを使われたりする
- 更新に使うパソコンがウイルスに感染している：保存していたサーバーのパスワードが盗まれる
- 使っていない部品や古いサイトが残っている：誰も気にかけていない所が入り口になる
どれも特別な攻撃ではなく、基本の管理が抜けている所から起きています。
最低限やること
1. 仕組みと部品を新しい版に保つ
WordPress のような仕組みを使っているサイトでは、本体とプラグイン、テーマの更新が欠かせません。WordPress の公式の手引き「Hardening WordPress」でも、定期的な更新で新しく見つかった弱い所をふさぐことがすすめられており、本体には自動更新の機能もあります。
- 更新の知らせが出たら、放っておかない
- 使っていないプラグインやテーマは削除する
- 長く更新が止まっている部品は、代わりのものを探す
- 更新で表示が崩れることがあるので、更新の前にデータの控えを取る
2. ログインを守る
- 管理画面、サーバー、ドメインの管理画面のパスワードを、長く推測されにくいものにし、使い回さない
- 二段階の認証が使えるなら、有効にする
- 管理画面に入れる人を必要な人だけにし、辞めた人や使わなくなった人のアカウントは削除する
- 管理者の権限は、必要な人だけに持たせる
3. データの控えを取る
改ざんされたとき、元に戻せるかどうかは、データの控えがあるかで決まります。
- 定期的に（毎日や毎週）自動で控えを取る
- 控えをサイトと同じ場所だけに置かない
- 何日前まで戻せるかを把握しておく
- 年に一度は、控えから戻せるかを試す
4. 更新に使うパソコンを守る
JPCERT/CC の注意喚起では、サイトの更新に使うパソコンがウイルスに感染していないかを確かめることも挙げられています。更新に使うパソコンは、OS とソフトを新しい版に保ち、ウイルス対策ソフトを入れておきます。サーバーのパスワードを、パソコンのソフトに保存したままにしないことも大切です。
5. フォームなどの入り口を守る
問い合わせフォームのように、外から入力を受け付ける所は、作り方によっては攻撃の入り口になります。IPA（情報処理推進機構）の「安全なウェブサイトの作り方」には、ウェブサイトで起きやすい弱い所と対策がまとめられています。制作会社に頼む場合は、フォームの安全の対策をどうしているかを確かめます（問い合わせフォームの項目の決め方）。
改ざんに気づくための確認
| 確認すること | 頻度の目安 |
|---|---|
| 自社のサイトをスマートフォンとパソコンで開いてみる | 週に一度 |
| 会社名で検索し、見覚えのないページや言葉が出ていないか | 月に一度 |
| 管理画面に見覚えのない利用者がいないか | 月に一度 |
| 仕組みと部品に更新が出ていないか | 週に一度 |
| サーバーのファイルが知らないうちに増えたり変わったりしていないか | 保守の担当に確かめてもらう |
ブラウザやウイルス対策ソフトから「このサイトは危険」と警告が出た、お客様から「変なサイトに飛ばされた」と言われた、というのも大事なきっかけです。
改ざんされたときの対処
- 被害を広げない：サイトを一時的に閉じる、または「点検中」の表示に切り替える
- 記録を残す：何が表示されたか、いつ気づいたかを、画面の写しとともに記録する
- パスワードを変える：管理画面、サーバー、ドメインの管理画面、関係するメールのパスワードを変える。更新に使うパソコンがウイルスに感染していないかも確かめる
- 原因を調べる：どこから入られたか（古い部品、パスワード、パソコン）を調べる。自社で難しければ、制作会社や専門の会社に頼む
- 元に戻す：改ざんされる前のデータの控えから戻し、仕組みと部品を新しい版にしてから公開し直す
- 知らせる：お客様の情報が漏れたおそれがある場合は、関係する人への連絡や、所管の窓口への報告が必要になることがあります
原因が分からないまま控えから戻すと、同じ弱い所からまた改ざんされることがあります。
制作会社と分担を決める
保守を制作会社に頼んでいる場合も、何を誰がするかを決めておかないと、「お互いにやっていると思っていた」ということが起きます。
| 作業 | 担当を決めておく |
|---|---|
| 仕組みと部品の更新 | 誰が、どのくらいの頻度で |
| データの控え | 何日分を、どこに |
| パスワードの管理 | 誰が知っていて、どう変えるか |
| 改ざんに気づいたときの連絡 | 誰に、どの方法で。対応する時間帯 |
| 元に戻す作業 | 費用は保守に含まれるか |
保守契約で確かめる点はホームページ保守契約で確認することで説明しています。
WordPress を使わない作りという選択
お知らせの更新がほとんど無いサイトなら、WordPress のような仕組みを使わず、表示するページのデータだけを置く作り（静的なサイト）にする方法もあります。管理画面が無いぶん、入られる入り口が減り、仕組みの更新の手間もかかりません。更新が多い会社には向かないので、更新の頻度と、誰が更新するかで選びます。
Lapisデザインラボの「サイト保守・更新」では、監視と更新の作業をお受けしています。作業の一覧はサイト保守・更新をご覧ください。
よくある質問
ホームページの改ざんを防ぐために、最低限何をすればよいですか。
サイトの仕組み（WordPress など）と部品（プラグイン、テーマ）を新しい版に保つこと、管理画面やサーバーのパスワードを使い回さず強いものにすること、二段階の認証を使えるなら有効にすること、データの控え（バックアップ）を定期的に取っておくこと、の4つが基本です。これに加えて、サイトの更新に使うパソコンのウイルス対策も欠かせません。
ホームページが改ざんされているか、どうやって確かめればよいですか。
見覚えのないページや文字が表示される、別のサイトに勝手に飛ばされる、検索の結果に関係の無い言葉が出る、ブラウザやウイルス対策ソフトから警告が出る、といったことがきっかけで気づくことが多くあります。管理画面に見覚えのない利用者が増えていないか、サーバーのファイルが知らないうちに書き換わっていないかも確かめます。
ホームページが改ざんされたら、まず何をすればよいですか。
まずサイトを一時的に閉じるなどして、見に来た人に被害が広がらないようにします。そのうえで、管理画面やサーバーのパスワードを変え、改ざんされる前のデータの控えから戻し、仕組みと部品を新しい版にしてから公開し直します。原因が分からないまま戻すと、同じ弱い所からまた改ざんされることがあります。自社で対応が難しい場合は、制作会社や専門の会社に相談します。