学研メディカルサポートが管理するWordPressの78サイトに不正アクセス。不正アカウントの作成とパスワード書き換え

01発表されている事実

1. 8月3日午前

   同社が不正アクセスを確認

2. 8月3日15時30分

   WordPressの管理画面を表示するための追加認証を設定

3. 8月3日21時

   WordPressの緊急バージョンアップと、アカウント情報の復旧を完了

4. 8月4日

   公表。対象サイトの管理者には順次個別に連絡

発表時点で、各サイトの閲覧障害は確認されておらず、個人情報や問い合わせ情報の流出・不正利用も確認されていないとしています。同社は継続して監視するとしています。悪用された脆弱性の名前やWordPressのバージョンは公表されていません。

02読者への影響

同社に制作・保守を頼んでいるサイトの管理者には、同社から個別に連絡が届きます。サイトの訪問者に被害が出たという発表はありません。

この件で目を向けたいのは、「バージョンアップを予定していた」サイトが狙われた点です。WordPressは世界中で使われているため、脆弱性が公表されると、更新の済んでいないサイトを探す攻撃がすぐに始まります。管理者アカウントを勝手に作られると、サイトの改ざんや、偽ページ・不正なプログラムの設置に使われるおそれがあります。

03WordPressのサイトを持つ会社が今すぐやること

1. WordPress本体・テーマ・プラグインが最新か、管理画面の「更新」で確かめる。自動更新が止まっていないかも見る
2. ユーザー一覧に、知らない管理者アカウントがないか確かめる。あれば削除し、ほかの管理者のパスワードも変える
3. 管理画面（wp-admin）に、IPアドレスの制限や追加の認証をかける。今回の同社の対応も同じ考え方です
4. 制作会社に保守を任せている場合は、更新の頻度と、脆弱性が出たときの連絡の決まりを確認しておく

04同じことを防ぐには

WordPress.orgは、運用の安全のために、本体やプラグインを常に最新にすること、強いパスワード、管理画面の保護、不要なプラグインの削除などを案内しています。更新がすぐにできないサイトでは、WAFで既知の攻撃を止める方法もあります。改ざんに気づいたときの手順は、図鑑の「Webサイトへの攻撃」の入口にまとめています。

自社で更新作業を担う人がいない小さな会社ほど、更新が遅れがちです。月に1度でも管理画面を開いて更新とユーザー一覧を見る日を決めておくと、今回のような被害に気づきやすくなります。

05今後の発表

同社は、新たな事実や変更が出た場合は速やかに知らせるとしています。