企業に甚大な被害をもたらすサイバー攻撃。攻撃に遭った結果、自社のWebサイトを改ざんされてしまう場合がある。ひとたび改ざんにあえば、Webサイトに悪意のあるコードを仕込まれ、訪れたユーザがトラブルに巻き込まれる二次被害に繋がりかねない。

メディアで騒がれたネットバンキングの不正送金も、改ざんされたWebサイトをユーザが閲覧してマルウェアに感染し、IDやパスワードを盗まれたことが原因だった。

こうしたトラブルを防ぐためにもセキュリティ対策は欠かせないが、適切な対策をしないままトラブルが発覚するまで改ざんに気づかないケースも実は多い。そんなWebセキュリティの穴に落ちている情シスがここにもひとり────

──── しばらくして ────

Webサイトの改ざん手口は脆弱性を狙ったものとアカウント乗っ取りによる改ざんの2種類がある。

WebアプリケーションやWebサイトに使用しているソフトウェアの脆弱性を狙い、改ざんを行う。
Webアプリケーションの脆弱性を突く攻撃の一つとしてSQLインジェクションが挙げられる。
SQLというデータベースを操作する言語を悪用した攻撃で、脆弱性のあるWebアプリに不正なSQLを送信し、データベースにあるコンテンツを改ざん。データを盗み見したり、サイトにマルウェアを埋め込まれたりする。
また、サーバのOSやWebサイトのCMS（コンテンツマネジメントシステム）といったソフトウェアに脆弱性がある場合、更新プログラムが提供されるまでの間に狙われるゼロデイ攻撃といったものも脆弱性を狙った改ざんの一つ。

WordPress※を使用しているWebサイトでアップデートしていないサイトが狙われることも多い。

^{※WordPressとは...PHPというプログラミング言語で作られているオープンソースのブログソフトウェア。CMS（コンテンツマネジメントシステム）として広く普及している。}

システムの脆弱性を狙われ管理者のアカウント情報が流出したり、人的ミスや内部の人間による悪意のある流出などにより、アカウント自体が乗っ取られ、Webサイトを改ざんされるケースもある。
アカウントの乗っ取りは、システム上不正アクセスの挙動として認識されにくく、改ざんの発覚などが遅れることも。

Webサイトの改ざんは金銭的被害だけでなく、企業に対して様々な被害・影響を与えるものだ。
改ざんによって、悪意のあるプログラムが埋め込まれ、アクセスしたユーザがウイルスに感染し、二次被害を誘発することにでもなれば訴訟ものだ。
いくらSSL化して通信を暗号化していたとしても、問い合わせフォームを改ざんされれば、入力した個人情報は攻撃者に筒抜けだ。
管理者アカウントが乗っ取られれば、サーバごと乗っ取られることにもつながりかねない。
仮にマルウェアが埋め込まれたり、データベースに登録されている顧客情報が流出したりしなくても、Webサイトが改ざんされたという事実自体が、ユーザや取引先に不信感を与えてしまうことになる。

まず最初に実施すべきはWebサイトへの通信を遮断することだ。
改ざんされてしまったWebサイトにアクセスがある限り、被害が広がる可能性がある。
発覚したらすぐにメンテナンスモードにし、外部からのアクセスを完全に止めよう。

その次に、バックアップからサイトを復元する。
Webサイト改ざんの場合、ファイルやコードに不適切なものが紛れている状態だ。
改ざん前のデータに戻し、正常な状態に復旧しよう。

ここまでが応急対策の流れだが、Webサイトの脆弱性をチェックしたり、被害に至る迄の原因、被害状況の把握をしたりして、会社としての対応や今後の方針を決めるところまでの恒久対策がより重要となる。
場合によっては被害者に対する謝罪、補償やメディアへの公表なども含まれるだろう。
巧妙な攻撃者である場合、改ざんや被害の状況を容易に把握できないようにしている場合もあるため、専門業者に調査を依頼するのも検討するとよい。

前章で解説した通り、Webサイトの改ざんは「脆弱性を狙った攻撃」「アカウントの乗っ取り」等で引き起こされるため、それに対してセキュリティ対策を実施する必要があるぞ。

使用しているハードウェアのOSやセキュリティアップデートは必ず実施しよう。
また、インストールしているアプリケーションについても必ず最新バージョンにしておくのが重要だ。
なかなか、会社で管理しているデバイスの状態を常に把握するのは難しい。
そういった時は、IT資産管理サービスなどの導入を検討するとよい。
IT資産管理について解説した記事はこちら

Webサイト運営に使用されているソフトウェアは、ApacheやNginx、IIS、MySQL、WordPressなど必要なものが多岐に亘り、それぞれ複数種類存在する。それぞれのソフトウェアのバージョンが最新状態になっているか、サポートが終了して脆弱性にさらされていないかを常に把握しておこう。

WebサイトへのデータアップロードにはFTPという通信方式がよく使用される。
しかしFTP自体古い通信方式であり、暗号化することができない。
TLSまたはSSLで暗号化した通信方法はFTPSになるので、それを利用しよう。

Webサイトに使用しているCMSのパスワードや、デバイスそれぞれのログインパスワードなど、管理しなければならないパスワードはたくさんある。
パスワード管理ポリシーなどを策定し、パスワードの共有範囲や複雑化なども徹底して管理しよう。できれば二段階認証やワンタイムパスワードなどの、よりセキュアなログイン（アクセス）方法を検討するのがおすすめだ。

セキュリティサービスを導入することで、一定の改ざんリスク低減に効果があるぞ。
仮にOSなどがすぐにアップデートできない状況であっても、セキュリティサービスを導入しておくと攻撃に合うリスクを低減することも可能だ。

Webサイト改ざん対策におすすめなセキュリティサービスは「WAF（Web Application Firewall）」だ。
WAFとはWeb Application Firewallの略語で従来のFW（ファイアウォール）やIDS／IPSでは防ぐことができない攻撃からWebアプリケーションやWebサイトを防御するファイアウォールのことを指す。
USEN GATE 02 では「攻撃遮断くん」というWAFをおすすめしている。
攻撃遮断くんは、Webアプリケーションの脆弱性を狙った攻撃を遮断することができるセキュリティサービスで、クラウド環境に構築されたWebサイトでも対応が可能だ。
改ざん検知サービスもオプションであり、改ざんの早期発見にも役立つ。
手間のかかる保守や運用をまるっと任せられるのが特徴だ。

《防御の違い》

それぞれ異なるレイヤの攻撃を防御するため、単体で運用しても完全な守りにはならない。