Webサイトが攻撃される仕組み
この教材でわかること：小さな会社のサイトでも狙われる理由と、よくある手口の種類。そして、今日からできる基本の備えです。
「うちは小さいから狙われない」は本当？
Webサイトへの攻撃の多くは、人が一つひとつ相手を選んで行うものではありません。インターネット上のサイトを自動で次々に調べるプログラムが使われ、弱いところが見つかったサイトから順に狙われます。
たとえるなら、夜の住宅街を自転車でゆっくり一周しながら、一軒一軒の門や玄関の鍵を手で引いて確かめていく人がいるようなものです。この人は「この家の持ち主が誰か」を知って狙っているわけではありません。たまたま鍵がかかっていなかった家、古い鍵のままだった家から順に、被害にあってしまいます。Webサイトへの自動的な攻撃も、これと同じように「たまたま弱かったところ」が狙われるしくみです。
そのため、会社の規模や知名度とは関係なく、「古いまま放置されている」「推測しやすいパスワードのまま」といった状態のサイトが狙われやすくなります。小さなサイトでも、対策をしていなければ対象になりえます。
攻撃する側の目的
攻撃者がサイトを乗っ取って得ようとするものは、たとえば次のようなものです。
- サイトに偽のページや広告を埋め込み、訪問者をだましたり、別のサイトへ誘導したりする
- お問い合わせフォームなどから送られた個人情報を盗む
- サーバーを、迷惑メールの送信や、ほかのサイトへの攻撃の「踏み台」として使う
どれも、サイトの持ち主が気づかないうちに、訪問者やお客さまに迷惑がかかる点が共通しています。
よくある手口
1. 古いソフトの弱点をつく
Webサイトは、WordPress のような管理システム（CMS）、その追加機能（プラグイン）、PHP などの部品で動いています。これらに弱点（脆弱性）が見つかると、修正版が公開されます。修正版に更新していないサイトは、すでに知られている弱点をそのまま突かれるおそれがあります。
2. 管理画面のパスワードを破る
管理画面のログインページに、よく使われるパスワードを次々に試す方法（総当たり）や、ほかのサービスから漏れたIDとパスワードの組み合わせを試す方法（リスト型攻撃）があります。パスワードの使い回しをしていると、ほかで漏れた情報から入られてしまいます。このようなログインを狙う手口は、このシリーズの「ブルートフォース攻撃」と「クレデンシャルスタッフィング」で、それぞれくわしく解説しています。
3. 入力欄に細工した文字を送る
お問い合わせフォームや検索欄などに、プログラムとして解釈される細工した文字を送り込む手口です。代表的なものに「SQLインジェクション」や「クロスサイト・スクリプティング」があります。入力の扱いが不十分なサイトでは、データを盗まれたり、ページを書き換えられたりするおそれがあります。それぞれのしくみは「SQLインジェクション」と「XSS（クロスサイトスクリプティング）」で1つずつ解説しています。
4. 通信そのもの・サーバーの処理能力を狙う
情報を盗んだり書き換えたりするだけでなく、通信の経路に入り込む「中間者攻撃（MITM）」や、大量のアクセスを送り込んでサイトを使えなくする「DDoS攻撃」のように、サイトの中身そのものには手を加えない手口もあります。
今日からできる基本の備え
- 更新を止めない：CMS・プラグイン・PHP を、だれがいつ更新しているかを確認する
- パスワードを見直す：管理画面は使い回しのない長いパスワードにし、使えるなら2段階認証を有効にする
- 使っていない機能を減らす：使っていないプラグインや、退職者の管理アカウントを整理する
- バックアップを確認する：万一のときに元に戻せるよう、定期的なバックアップがあるかを確認する
自分で作業できない場合は、制作会社・管理会社に確認するのが近道です。確認のしかたは「制作会社に確認すること」で紹介しています。外から見える範囲の設定は、無料診断でも確認できます。
ここで紹介した手口は、「攻撃者の視点を知る」シリーズで1つずつくわしく解説していきます。まずは「SQLインジェクション」から読んでみましょう。
参考にした公開情報
- IPA「安全なウェブサイトの作り方」（URL要確認）
- IPA「情報セキュリティ10大脅威」（URL要確認）
- OWASP Top 10（英語）
この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。