2016年8月24日
一般社団法人JPCERTコーディネーションセンター

いまやWebサイトは企業・組織の顔でありビジネスに不可欠な存在です。一方で、Webサイトの改ざん被害については、依然として多くの報告がJPCERT/CCに寄せられています。改ざんや情報窃取などの被害が発生した場合は、サービス停止や顧客への補償など、事業に直結する影響を受ける可能性があります。

図1. Webサイト改ざん件数の推移
( JPCERT/CC インシデント報告対応レポート https://www.jpcert.or.jp/ir/report.htmlより )

JPCERT/CCでは、日本国内の企業・組織のWebサイトがサイバー攻撃の踏み台として悪用されている事例を継続して確認しています。また、 IPA (独立行政法人情報処理推進機構) では、改ざんされたWebサイトにアクセスしたユーザに対して、マルウエアを感染させる事例が発生しているため注意を呼びかけています(*1) 。加えて、2016年6月には、SNSなどを用いて海外で売買されていたWebサイトの認証情報リストが公表されましたが、その中には日本国内のWebサイトが多数含まれていました。

Webサイト改ざんの原因のひとつとして、 CMS (Contents Management System) に関連する脆弱性を悪用し、他のサイバー攻撃に悪用する事例が依然として多数確認されています。これまでにもWebサイトに関する注意喚起を行ってきましたが、新たな脆弱性が次々と公表されるなど、状況は日々変化しており、万全の対策を行っているつもりでも被害に遭う可能性を否定できません。また、単純な認証方式や認証情報の使い回しによる被害なども発生しており、基本的な対策についても考慮する必要があります。こうした現状を踏まえ、Webサイトへの基本的な対策のほか、運用管理における定期的な点検の実施をおすすめします。

以下は、JPCERT/CCが確認した、代表的なWebサイトへの攻撃です。

(2)　認証情報の窃取を目的としたWebサーバへのパスワードリスト攻撃

被害の回避、低減のため、以下の項目を重点的に点検してください。

万が一、異常が見つかった場合を想定し、ログの保存方法や緊急時の対応手順、対応者の連絡先を事前に確認しておくことも、被害低減のために必要不可欠です。

Webサイト運営管理における基本的な対策については、以下を参照・確認してください。

■　IPA「安全なウェブサイトの構築と運用管理に向けての16ヶ条～セキュリティ対策のチェックポイント～」
https://www.ipa.go.jp/security/vuln/websitecheck.html

■　IPA「ウェブサイト改ざん対策に関するよくある相談と回答（FAQ）」
https://www.ipa.go.jp/security/anshin/faq/faq-webfalsification.html

なお、Webサイト運営者および管理者は、対策や点検の実施にあたり、必要に応じて運営委託先の企業、ホスティング事業者（レンタルサーバ事業者、クラウドサービス事業者）、またはセキュリティベンダに相談することをおすすめします。

また、ホスティング事業者が提供する基盤部分が攻撃を受けて、複数の顧客のWebサイトが改ざんされるなどの被害が懸念されるため、ホスティング事業者においては、自社への攻撃により、顧客に被害が及ばないよう、充分なセキュリティ対策と運用を実施してください。

Webサイトの改ざんなどを発見した方、被害に遭われた方、被害の対応依頼を希望される方は、以下の問い合わせ先までご連絡ください。

Topへ