自動車用品メーカーSPOONのサイトが改ざん。偽の確認画面で「Win＋R」の操作をさせる手口

01発表されている事実

1. 7月29日・8月12日

   第三者がWordPressの管理画面に不正にログインした記録

2. 8月12日 17時59分ごろ

   サイトで使うファイルの一部が改ざんされる

3. 8月19日 18時32分ごろ

   改ざんされたファイルを無効化

4. 8月20日

   初報を公表

5. 9月4日

   第2報（9月2日更新）。同様の表示や外部通信の再発は確認されていない

影響があった可能性があるのは、URLが「/blog/」で始まるページ（NEWS、NEW RELEASE、RECRUITMENT、FAQ などの一部）です。偽の画面は全員に出たわけではなく、特定の条件で表示されていたと考えられるとしています。不正ログインに使われた認証情報がどう盗まれたかは特定できておらず、個人情報への影響も調査中です。同社は、管理者アカウントの認証情報の変更、管理画面へのアクセス制限、不要なプログラムの削除と更新などを行いました。

02どんな手口か

警察は、この種の手口を「ClickFix（クリックフィックス）」と呼んで注意を呼びかけています。茨城県警察の資料によると、偽の「私はロボットではありません」の画面でクリックさせると不正な命令がコピーされ、「Windowsキー＋R」で開いた欄に貼り付けて実行させることでウイルスに感染させます。IDやパスワードの窃取、ネットバンキングやカードの不正利用、会社のシステムへの侵入につながるおそれがあります。

03読者への影響と、今すぐやること

期間中に同社サイトを見て、案内どおりにキーを押した人は対処が必要です。同社の案内は次のとおりです。

• 個人のパソコン：Wi-Fiを切るかLANケーブルを抜く。そのパソコンでメールやネットバンキング、通販にログインしない。別の安全な端末から重要なアカウントのパスワードを変え、多要素認証を設定する。セキュリティソフトを最新にしてフルスキャンする
• 会社のパソコン：ネットワークから切り離してシステム管理者に連絡する。不審なファイルは調査の記録が消えるおそれがあるため、自分で削除しない
• 見ただけの人：念のためOSとセキュリティソフトを最新にしてフルスキャンする

相談先として、IPAの「情報セキュリティ安心相談窓口」（03-5978-7509）が案内されています。どのサイトでも、確認画面がキーボード操作や貼り付けを求めてきたら、それは正規の確認ではありません。

04サイトを運営している会社がすること

WordPressのサイトは、管理画面への不正ログインから改ざんされる例が多くあります。管理画面に多要素認証をかけ、アクセスできる場所を絞り、プラグインやテーマを最新に保ってください。図鑑の「Webサイトへの攻撃」の入口では、WAFや脆弱性診断を比べられます。