WEB業界で働く人や興味がある人に役立つ情報サイト“qam（カム）”

投稿者： たかし
カテゴリー： プログラム >セキュリティ

管理画面を開くと表示される「更新があります」の通知をつい後回しにしてしまうことはないでしょうか。

更新を後回しにすると、見た目は普段どおりでも、裏側では書き換えられている可能性があります。

この「後で」がそのまま数ヶ月、時には1年以上続いているサイトは少なくありません。改ざん被害の多くは、この「更新忘れ」から始まっています。

今回は、なぜアップデートの放置がサイトの乗っ取りにつながるのかと、今日からできる対策について整理しました。

放置されたサイトで起きていること

更新通知を放置すると、プログラムを改ざんされてしまう可能性があります。
ログイン画面が知らないURLへ転送される、フッターに見覚えのないリンクが増えている、といった症状は、更新されていない古いプラグインの脆弱性が原因です。

特に注意したいのが、長期間更新されていないプラグインです。開発が止まったプラグインは新しい脆弱性が見つかっても修正が入らないため、使い続けている限りリスクがどんどん積み上がっていきます。管理画面のプラグイン一覧で「最終更新日」を確認し、1年以上更新のないものがあれば、代替プラグインへの乗り換えも検討したほうが良いでしょう。

なぜ狙われるのか

こうした攻撃の多くは、特定のサイトを狙ったものではありません。

「あるプラグインのあるバージョンに脆弱性がある」

という情報は世界中に公開されており、攻撃者はそれを使っているサイトを自動的に探し出し、片っ端から攻撃を仕掛けてきます。WordPressは全世界のWebサイトの4割以上で使われているため、こうした自動攻撃にとって非常に効率のよいターゲットになっています。

「規模の小さいサイトだから狙われない」という考え方は危険な思い込みです。

気づかないまま進行するリスク

さらに厄介なのは、改ざんされてもすぐには気づきにくいという点です。

見た目に変化がないまま裏側だけ書き換えられ、迷惑メールの送信元にされていたり、検索結果に警告表示が出たりして初めて発覚するケースもあります。そこまで進んでしまうと、修正だけでなく取引先やお客様への説明、信頼の回復にも時間がかかります。

対策

対策として意識しておきたいのは、次の5点です。

• コア・テーマ・プラグインの更新は定期的に確認する
• 使用していないプラグインやテーマは無効化ではなく削除する
• 管理画面へのログインには二段階認証を設定する
• 更新作業を誰かの担当業務として明確に決めておく
• 更新前には必ずバックアップを取得し、復元できる状態を確認しておく

「更新すると表示が崩れるかもしれない」という不安から手が止まってしまうケースもよく見かけますが、これはバックアップと検証環境をセットで用意しておけば解決できる問題です。むしろ、動作確認をしないまま更新を止めてしまうことの方が、長期的にはずっと大きなリスクになります。

どれも特別な技術は必要なく、地味な積み重ねですが、この積み重ねこそがサイトを守る一番の近道です。社内で運用管理まで手が回らない場合は、更新作業を保守サービスとして外部に任せてしまうのも一つの選択肢です。

まとめ

「後で」が半年、1年と延びてしまっているサイトは、想像以上に多いです。

知らないうちに乗っ取られてしまう前に、この記事をきっかけに一度管理画面を開いて更新状況を確認してみてはいかがでしょうか。