パスワードが破られる経路は、主に3つあります。考えられる組み合わせを片端から試される「総当たり」、ほかのサービスから漏れたパスワードを試される「使い回し」、偽のログイン画面に自分で入力してしまう「フィッシング」です。経路ごとに効く対策は違い、**3つすべてのリスクを大きく下げられるのが二要素認証**です。
「長く複雑なパスワードにしているから大丈夫」と考えている方も多いのですが、それが効くのは3つのうち1つだけです。
守るべきパスワードは1つではない
WordPressサイトを運営していると、思っている以上に多くのパスワードを持っています。
- WordPressの管理画面：管理者ごとに1つずつ。制作会社や過去の担当者のアカウントが残っていることもあります
- サーバーパネル：レンタルサーバーの管理画面。サイトのファイル、メール、データベースの設定をまとめて操作できます
- FTP：サーバー上のファイルを直接読み書きするためのもの
- メールアカウント：
info@などのアドレスごとに1つずつ - ドメインの管理画面：ドメインを取得したサービスのアカウント
- データベース：WordPressが使うもので、wp-config.phpに書かれています
厄介なのは、1つが漏れると、ほかの扉も開いてしまうことです。サーバーパネルに入られれば、FTPやメールのパスワードを変更でき、サイトのファイルも書き換えられます。メールを読まれれば、ほかのサービスの「パスワード再設定」のメールを受け取られてしまいます。ドメインの管理画面に入られると、サイトやメールの行き先そのものを別の場所に向けられることがあります。
WordPressの管理画面だけを固めても、サーバーパネルのパスワードが弱ければ、外側から入られます。
経路1 総当たり
ブルートフォース攻撃とも呼ばれます。プログラムが、よく使われるパスワードや単語、考えられる文字の組み合わせを次々に試していく方法です。
WordPressのログイン画面は /wp-login.php という決まった場所にあり、標準ではログインの失敗回数も制限されていません。そのため、多くのWordPressサイトが日常的にこの攻撃を受けています。ユーザー名に「admin」やドメイン名を使っていると、片方がすでに当たっている状態から試されることになります。
この経路には、長く推測されにくいパスワードがよく効きます。試す組み合わせの数が増えれば、自動化されたプログラムでも当てるのは難しくなるからです。ログインの失敗回数を制限する仕組みも有効です。
サーバーのアクセスログに wp-login.php への短時間の大量アクセスが残っていれば、この攻撃を受けているサインです。
経路2 使い回し
パスワードリスト攻撃と呼ばれる方法です。どこかのWebサービスから流出したメールアドレスとパスワードの組み合わせを、別のサイトでそのまま試します。
ここで漏れたのは、あなたのサイトではありません。昔登録したネットショップや会員サイトなど、まったく別の場所です。そこで使っていたパスワードと、WordPressやサーバーのパスワードが同じなら、攻撃者は一度も間違えずにログインできてしまいます。
この経路には、パスワードの長さや複雑さは効きません。どれほど長いパスワードでも、同じものを使っていれば、そのまま試されて通ってしまうからです。失敗の回数も少ないため、回数制限にもかかりにくく、本人のログインとの見分けもつきにくくなります。
効くのは、サービスごとに別のパスワードを使うことです。数が多くて覚えられない場合は、パスワード管理ツールで生成・保存すれば負担はかかりません。制作会社や前任者と共有していたパスワードも、担当が変わった時点で見直しておきましょう。
経路3 偽のログイン画面
フィッシングは、本物そっくりの偽のログイン画面にパスワードを入力させて盗む方法です。サイトの持ち主に届くのは、たとえば次のようなメールです。
- 「サーバーの利用料金のお支払いが確認できません」
- 「ドメインの有効期限が近づいています」
- 「サイトでセキュリティ上の問題が見つかりました」
どれも、サイトを運営している人なら思わず開いてしまう内容です。リンク先のログイン画面にパスワードを入れた時点で、攻撃者に渡ります。
自分で入力してしまう以上、パスワードの長さも、使い回しをやめていることも関係ありません。効くのは、メールのリンクからログインしないことです。サーバーパネルやドメインの管理画面は、ブックマークや公式サイトから開く習慣をつけてください。パスワード管理ツールの自動入力は、登録したサイトと違うURLでは働かないため、偽の画面に気づくきっかけにもなります。
偽の画面で、二要素認証のコードまで入力させようとする手口もあります。「コードを求められたから本物だろう」とは判断しないでください。
もう一つの経路 パソコンから盗まれる
3つの経路のほかに、目立たない経路がもう1つあります。パソコンがマルウェアに感染し、ブラウザやFTPソフト、メールソフトに保存されたパスワードを読み取られて送られてしまうケースです。
本人は何も入力していないのに漏れるため、原因に気づきにくいのが特徴です。ログインした状態そのものを盗まれると、二要素認証を設定していても入られることがあります。
対策は、パソコンのOSやソフトを最新に保ち、セキュリティソフトを使い、心当たりのない添付ファイルやソフトを開かないことです。パスワードが漏れたかもしれないときは、パスワードを変える前に端末を点検する順番を守ってください。感染したままの端末で変更すると、新しいパスワードも同じように盗まれます。
経路ごとに効く対策
ここまでの内容を整理すると、次のようになります。
| 経路 | 効く対策 | それだけでは防げないもの |
|---|---|---|
| 総当たり | 長く推測されにくいパスワード、失敗回数の制限、二要素認証 | — |
| 使い回し | サービスごとに別のパスワード、二要素認証 | 長く複雑なパスワード、失敗回数の制限 |
| 偽のログイン画面 | ブックマークや公式サイトからログインする、二要素認証 | 長く複雑なパスワード、使い回しをやめること |
| パソコンのマルウェア | OS・ソフトの更新、セキュリティソフト | 長く複雑なパスワード、サービスごとに別のパスワード |
3つの経路すべてに出てくるのは、二要素認証だけです。パスワードを知られても、スマートフォンなどの2つ目の要素がなければログインできないため、どの経路で漏れても被害を大きく減らせます。ただし、前に書いたとおり完全ではありません。パスワードの使い回しをやめることと組み合わせれば、1か所で漏れても、ほかの扉まで開くことは防げます。
漏れたかもしれないと思ったら
- パソコンとスマートフォンをウイルスチェックする
- 影響の大きいもの（サーバーパネル・ドメインの管理画面・メール）から、パスワードを別のものに変える
- 同じパスワードを使っていたほかのアカウントも、すべて変える
- 二要素認証を設定できるものは設定する
- WordPressの ユーザー > ユーザー一覧 に、作った覚えのない管理者がいないか確認する
5で不審なユーザーが見つかった場合は、すでに管理画面に入られています。侵入した攻撃者は、パスワードを変えられても戻ってこられるようバックドアを残していくことが多く、パスワードの変更だけでは足りません。この流れは「WordPressサイトが乗っ取られるまでの5つの段階」で、症状ごとの確認ポイントは「管理画面に入れない・不審なユーザーがいる」で解説しています。
まず手をつけるなら
全部を一度に変えるのが大変なら、サーバーパネルとメール、WordPressの管理者の3つから始めてください。それぞれ別のパスワードにして、二要素認証を設定する。それだけで、3つの経路の多くを塞げます。
すでに不正ログインの形跡がある、どこから漏れたのかわからないという場合は、サイトに残された痕跡を調べる必要があります。セキュリティーデスクでは侵入経路の調査と復旧を承っていますので、お気軽にご相談ください。
