Webサイトの改ざんとは？

01改ざんのしくみ

Webサイトの改ざんは、Webサイトの中身を他人に勝手に書き換えられることです。警察庁は、悪意のある者によって、Webサイトの内容や設定が管理者の意図しない状態に変えられたり、意図しないファイルを置かれたりすること、と説明しています。

警察庁が挙げる主な手口は3つです。

• 盗んだアカウント情報（管理画面のIDとパスワードなど）を使った不正アクセス
• ソフトウェアの脆弱性を突くもの。WordPressなどのCMSやWebアプリの脆弱性が悪用され、ネットワークに入られた例も多数あるとされています
• 組織内のアクセス制御の不備を突くもの

02よくある被害の例

見た目が変わる改ざんだけではありません。警察庁に寄せられた相談には、次のようなものがあります。

• 客から「サイトが改ざんされている」と連絡があり、見覚えのない画像が載り、管理画面に入れなくなっていた
• 通販サイトが攻撃を受け、氏名・生年月日・住所・電話番号などが外部に流出した形跡があった
• 客から「ホームページを見たらウイルスを検知した」と連絡があり、サーバーにマルウェアが置かれていた

会員登録や購入の画面に不正なJavaScriptを仕込み、入力された情報を盗む手口もあります。サイトの持ち主が気づかないまま、訪れた人が被害にあいます。

03防ぐには

1. サーバーのOS、CMS、プラグインを最新に保つ
2. 管理者のIDとパスワードを適切に管理し、使わないアカウントやサービスは止める
3. 公開するつもりのないファイルを公開用のフォルダに置かない
4. WAFなどで、Webアプリへの攻撃からサーバーを守る
5. 定期的にバックアップを取り、正常な内容と比べて不審なファイルがないか確かめる

警察庁は、検索サイトで「site:自社のドメイン名」と検索し、見覚えのないページが出てこないかを確かめる方法も紹介しています。

04被害にあったら

1. ただちにサービスを止め、管理画面やデータベースのアクセスログを保存・印刷して証拠を残す
2. 改ざんが見つかっていないサーバーやパソコンも含めて、原因を調べる
3. 調査をもとに脆弱性を塞ぎ、アクセスされた可能性のある機器のパスワードを変える
4. アクセスログなどを持って、最寄りの警察署かサイバー犯罪相談窓口に相談する

個人情報が漏れたおそれがあれば、個人情報保護委員会への報告も必要です。対策の製品や依頼先はWebサイトへの攻撃から探せます。