残念ながら、本当ではありません。サイトへの攻撃の多くはプログラムによって自動で行われていて、攻撃者が「このサイトを狙おう」と選んでいるわけではないからです。さらに、攻撃者が欲しいのはサイトの中身ではなく、**ドメインの信頼や訪問者、サーバーといった「サイトが持っている資源」**です。資源はどんなに小さなサイトにもあります。
攻撃者はサイトを「選んで」いない
「狙われる」と聞くと、攻撃者が企業の名前を見て標的を決める様子を思い浮かべるかもしれません。実際の攻撃の多くは、そうではありません。
プログラムがインターネット上のサイトを次々に巡回し、使っているソフトウェアに既知の脆弱性がないか、ログイン画面のパスワードが破れないかを機械的に確かめていきます。住宅街の家を一軒ずつ回って、鍵のかかっていないドアを探して歩くようなものです。そのとき、住んでいるのが大企業か個人商店かは確かめていません。見ているのは「ドアが開くかどうか」だけです。
規模はむしろ逆に働くことがあります。小さなサイトは、更新や監視の手が回っていないことが多く、乗っ取られても気づかれにくい。攻撃者にとっては、入りやすく、長く使い続けられる場所になります。攻撃の流れそのものは「WordPressサイトが乗っ取られるまでの5つの段階」で解説しています。
攻撃者が欲しいのは「中身」ではなく「資源」
会社案内やお店の紹介ページの内容は、攻撃者にとって価値がありません。乗っ取ったサイトで実際に使われるのは、次のようなものです。
ドメインの信頼 検索順位を借りる
長く運営され、ほかのサイトからリンクされているドメインは、Googleから一定の評価を受けています。攻撃者が新しくサイトを作っても、すぐには検索上位に出られません。そこで、すでに評価のあるサイトに宣伝ページを紛れ込ませます。これがSEOスパムです。
偽ブランド品や違法な医薬品などのページが、持ち主の知らないうちに大量に作られていることがあります。真面目に事業を続けてきたサイトほど、借りる価値のある評価を持っています。症状については「見覚えのないページや文字が表示される」をご覧ください。
訪問者 別の場所へ連れていく
サイトに来る人は、その会社やお店を信頼して訪れています。攻撃者はその流れを横取りし、不正リダイレクトで詐欺サイトや出会い系サイトへ転送します。「ウイルスに感染しています」という偽の警告を表示して、不審なアプリを入れさせようとするものもあります。訪問者の端末にマルウェアを送り込む入口として使われることもあります。
訪問者から見れば、被害に遭ったのは「あなたのサイトを開いたとき」です。
サーバーとメール 踏み台にする
サーバーはインターネットにつながりっぱなしで、処理能力とメールを送る機能を持っています。攻撃者はこれを踏み台にして、迷惑メールを大量に送ったり、ほかのサイトを攻撃したりします。
攻撃者にとって都合がいいのは、記録に残るのが自分ではなく、あなたのサーバーだという点です。メールアカウントのパスワードを盗まれて送信に使われた例は「エックスサーバーから「大量メール送信について」の連絡が届いたときの対処法」で紹介しています。
本物らしさ 偽ページの置き場所にする
銀行や宅配便、通販サイトを装ったフィッシングの偽ログイン画面は、どこかに置かなければなりません。怪しいドメインに置くと、迷惑メールフィルターやブラウザの警告に引っかかりやすくなります。正規の事業者のドメインの中なら、URLも一見まともに見えます。
そのため、サイトの中の目立たないフォルダに、持ち主の会社とまったく関係のないブランドの偽ページが置かれることがあります。
保存されているデータ 読み取る
サイトに情報が蓄積されている場合は、それ自体も狙われます。
- お問い合わせフォームの送信内容（内容をデータベースに保存する設定やプラグインを使っている場合）
- 会員登録の情報やメールアドレス
- ネットショップの注文情報
管理画面に入られたり、SQLインジェクションのような手口でデータベースを読まれたりすると、これらが持ち出されるおそれがあります。
結果は、持ち主のところに返ってくる
攻撃者がどの資源を使ったとしても、その結果を受け止めるのはサイトの持ち主です。
- Googleの警告：Googleセーフブラウジングに危険なサイトと判断されると、検索結果やブラウザに警告が表示され、多くの訪問者がサイトを開く前に引き返してしまいます（Googleで「ハッキングの可能性」と表示される）
- 検索順位の低下：スパムページが大量にあると、サイト全体の評価が下がることがあります
- サーバーの停止：サーバー会社は、ほかの利用者を守るためにアカウントを止めることがあります。サイトだけでなく、同じサーバーのメールも使えなくなる場合があります（サーバー会社から停止・警告の連絡が来た）
- 送り主として見られる：迷惑メールやフィッシングメールの送信元は、あなたのドメインです。取引先から問い合わせを受けたり、普段のメールが迷惑メール扱いされやすくなったりします
- 個人情報への対応：お客様の情報が漏れたおそれがあるときは、個人情報保護委員会への報告や本人への通知が必要になる場合があります
持ち主は被害者でありながら、外から見ると加害者と同じ立場に置かれる。小さなサイトにとっては、この影響が大きな負担になります。警告が出てしまったときの流れは「Googleの「危険なサイト」警告を解除するまでの流れ」で解説しています。
入られやすいサイトに共通すること
規模は関係ないとしても、入られやすいサイトには共通点があります。自動化された攻撃が探しているのは、まさにこうした状態です。
古いプラグインやテーマが残っている
WordPress本体・テーマ・プラグインの脆弱性は、修正版が出るのと同時に、攻撃者にも知られます。更新されていないサイトは、内容が知れ渡った弱点を抱えたままになります。停止しただけで削除していないプラグインも、ファイルが残っている限り狙われます。詳しくは「脆弱性が公表されてから攻撃が始まるまで」をご覧ください。
パスワードが推測されやすい・使い回されている
ユーザー名が「admin」、パスワードが短い単語。あるいは、ほかのサービスと同じパスワード。こうしたログイン情報は、自動化された攻撃で真っ先に試されます。経路ごとの違いは「パスワードが破られる3つの経路」にまとめています。
誰も見ていないサイトがある
キャンペーンのために作った特設サイト、リニューアル前の旧サイト、制作中に作ったテスト用のコピー。こうした「放置されたサイト」は、更新も監視もされないまま公開され続けていることがあります。担当者の退職や制作会社との契約終了で、管理者がいなくなっている場合もあります。
放置されたサイトが本体のサイトと同じサーバーにあると、そこから入られて、本体のサイトまで書き換えられることがあります。自分が管理しているつもりのないサイトが、入口になるのです。
小さなサイトだからこそ、できること
大がかりな仕組みがなくても、入られにくくすることはできます。
- 使っていないプラグイン・テーマ、古い特設サイトやテスト環境を削除する
- WordPress本体・テーマ・プラグインの更新を続ける
- パスワードをサービスごとに変え、管理者には二要素認証を設定する
- ときどき、ログアウトした状態や別の端末で自分のサイトを開いてみる
「うちは狙われない」と考えてしまうのは、攻撃が人の手で行われていると思うからです。実際には機械がすべてのサイトを順に確かめているので、確かめられたときに弱点が見つからない状態にしておくことが一番の備えになります。更新や点検まで手が回らない場合は、セキュリティーデスクの保守プランで代わりに見守ることもできます。
