FTPの仕組み
FTP（File Transfer Protocol）は、サーバーにファイルをアップロードしたり、サーバーからダウンロードしたりするための、昔からある通信の決まりごとです。FTPソフトに、サーバーの接続先・ユーザー名・パスワードを入力して接続します。
FTPの弱点は、パスワードやファイルの中身が暗号化されずに送られることです。はがきで暗証番号を送るようなもので、途中の通信をのぞかれると、そのまま読まれてしまいます。
この弱点を補うため、次の方式が使われています。
- SFTP：SSH という暗号化された接続の上でファイルをやり取りする方式。名前は似ていますが、FTPとは別の仕組みです
- FTPS：FTPの通信を SSL/TLS で暗号化する方式
どちらを使えるか、どう設定するかはサーバー会社によって異なります。
WordPressサイトでの例
FTPのアカウントは、サーバー上のファイルを自由に書き換えられる強い権限を持っています。そのため、FTPのパスワードが漏れると、WordPressのログイン画面を通らずに、直接ファイルを改ざんされてしまいます。
- パソコンからの漏えい：パソコンがウイルスに感染し、FTPソフトに保存していたパスワードを盗まれる。過去には、この手口で多くのサイトが改ざんされる被害が広がりました
- パスワードの総当たり：推測されやすいパスワードを、ブルートフォース攻撃で破られる
- 通信ののぞき見：暗号化されていないFTPを、公衆Wi-Fiなどで使っているときに盗み見られる
- 退職者・制作会社のアカウント：以前の担当者に発行したアカウントが、パスワードを変えないまま残っている
WordPressのパスワードを変えても、FTPのパスワードが漏れていれば、攻撃者は再びファイルを書き換えられます。
確認方法
- サーバーの管理画面で、FTPアカウントの一覧に使っていないものや見覚えのないものがないか確認する
- FTPの接続記録（ログ）を見られる場合は、心当たりのない日時やIPアドレスからの接続がないか確認する
- 使っているFTPソフトの接続設定が、SFTP または FTPS になっているか確認する
対策
- SFTP または FTPS で接続し、暗号化されていないFTPは使わない
- FTPのパスワードを長く推測されにくいものにし、ほかのサービスと使い回さない
- 使っていないFTPアカウントは削除する。不要な時期はFTP機能そのものを止める
- サーバーに接続元のIPアドレスや国を制限する機能があれば使う
- 改ざんの被害を受けたら、パソコンのウイルスチェックを行ったうえで、FTPのパスワードを変更する
FTPの設定方法がわからない場合は、契約しているサーバー会社のマニュアルを確認するか、専門業者に相談してください。
