名古屋でAIシステムの開発をしている小嶋です。
GMOインターネットの「お名前.com デスクトップクラウド」への不正アクセスは、10月27日、攻撃者とみられる者が利用者の情報と称するものを公開するところまで進みました。GMOは公式の発表で、公開先のサイトにアクセスした人の情報も攻撃者に取られていると注意を呼びかけています。
セキュリティの専門部隊を持つ大企業でも、ここまでの被害になります。では、ホームページを作ったあと何年も手を入れていない中小企業はどうか。今週、中小企業のホームページをあらためて外から診断して、はっきり分かったことがあります。守りの薄い中小企業のホームページは、自社がやられるだけでなく、取引先やお客様を攻撃するための「踏み台」になりうるということです。
GMOの件で起きていること
GMOの公式の発表（第1報〜第11報）から、事実だけを並べます。
- 10月21日、サービスを止めて不正アクセスを公表し、同じ日に約80億円を求める脅迫メールを受け取った
- FXの自動売買に使っていた利用者に、金銭の被害が出た
- 10月24日、利用者への見舞金と損失の補償を決め、能動的サイバー防御の適用を政府関係機関に要請した
- 10月25日から、利用者のパソコンを全国で預かり、マルウェアが仕掛けられていないかを解析している
- 10月27日12時30分、攻撃者とみられる者による情報の公開を確認した
- GMOは要求には応じないと明言し、その理由を「払っても削除や悪用の防止が保証されず、犯罪組織への資金提供になって次の被害を生むから」としている
ここで大事なのは、被害がサービスの中だけで終わっていないことです。利用者のパソコンまで調べる必要が出て、利用者の情報が公開され、公開先を見に行った人まで狙われています。一か所の侵入が、つながっている人へ次々に広がる。これは規模の大小に関係なく、ホームページでも同じです。
今週あらためて診断した中小企業のサイト
当社は、URLを入れるだけで外から見える守りを診断するシステムを開発しています。先日の愛知の中小企業21社に続いて、今週は5社のホームページを、ふつうの訪問者がページを開くのと同じ範囲で診断しました。社名は伏せて、数字だけを示します。
- 改ざんや悪いスクリプトを防ぐ設定（Content-Security-Policy）が入っていたのは、5社中0社
- 必ず https で開かせる設定（HSTS）が入っていたのは、5社中1社
- 攻撃の入口になりうる古い部品（公表済みの弱点がある版、古い版の WordPress 本体、期限切れの証明書）が外から見えたのは、5社中3社
先日の21社でも、Content-Security-Policy を入れていたのは0社でした。これまでに診断した中小企業26社すべて、つまり100%が、「入られたときに被害を止める備え」を持っていませんでした。
21社の詳しい結果は、こちらにまとめています。
ホームページが「踏み台」になる仕組み
乗っ取られたホームページは、持ち主の会社より先に、取引先やお客様への攻撃に使われます。よくある使われ方は次のとおりです。
- 偽のログイン画面を置かれる：正規の会社のドメインの中に、銀行やネットショップのログイン画面をまねたページを置かれます。信用のあるドメインなので、迷惑メールの振り分けをすり抜けやすくなります。
- 訪れた人にウイルスを配られる：ページに悪いスクリプトを埋め込まれ、サイトを見たお客様や取引先のパソコンが感染します。Content-Security-Policy は、まさにこれを止めるための設定です。
- 問い合わせフォームの中身を抜かれる：フォームに入力されたお客様の名前・電話番号・メールアドレスを、入力したそばから外へ送られます。
- 本物の会社名で偽メールを送られる：同じサーバーのメールやフォームを使って、取引先に「振込先が変わりました」といった偽の連絡を送られます。
- 取引先に入る足がかりにされる：盗まれたメールのやり取りや鍵を使って、取引先の中へ入り込まれます。いわゆるサプライチェーン攻撃で、IPA の「情報セキュリティ10大脅威」でも、取引先や委託先を狙う攻撃は毎年上位に入っています。
被害に気づくのは、たいてい取引先から「御社から変なメールが来た」と言われたときです。そのときには、もう信用を失っています。
中小企業は、一度の事故で会社が傾く
大企業なら耐えられる一回の事故でも、中小企業には存続に関わります。
- 何が漏れたかを調べる専門業者の費用は、中小企業の年間のIT予算をすぐに超えます
- 個人情報が漏れたおそれがあれば、個人情報保護委員会への報告と本人への通知が義務で、その対応だけで少人数の会社は本業が止まります
- カード情報が抜かれれば、不正利用の分の負担を求められ、ネットショップの決済も止められます
- 取引先に偽メールが届いた時点で、「セキュリティの甘い会社」として取引を見直されます。大企業はいま取引先にも対策を求めているので、ここがいちばん痛いところです
「設定が少し足りないだけ」と「会社の存続」の距離は、中小企業ほど近いのです。
会社で確かめておくこと
- ホームページを最後に更新したのはいつか：作ったあと何年も、WordPress 本体やプラグイン、サーバーの PHP の版を上げていないなら、入口が開いている可能性があります
- 入られたときに被害を止める設定が入っているか：制作会社やサーバー会社に、改ざんを防ぐ設定が入っているかを聞いてみてください
- ホームページと社内がどうつながっているか：フォームの送信内容をサーバーに残していないか、サイトと社内で同じパスワードを使っていないか、会社のメールが同じサーバーで動いていないか
- 今日、社内に一言伝える：GMOの件の公開先のような「漏れた情報」と称するサイトを、気になっても開かないこと。開いた人の情報も取られます
なぜサーバーが別でも社内まで被害が広がるのかは、前回の記事で6つの線に分けて書きました。
自社のホームページが外からどう見えているかは、URLを入れるだけで診断できます。外から見える範囲の診断なので、点数が高くても安全が保証されたわけではありません。
https://proto.exbridge.jp/kseccheck/#ref=vibeblog-gmo-fumidai
外から見えない部分の点検と直しは、愛知県内の会社向けの AI-IT顧問でお引き受けしています。
https://exbridge.jp/ai-it-komon.html#ref=vibeblog-gmo-fumidai
よくある質問
中小企業のホームページも狙われるのですか
狙われます。攻撃の多くは、相手を選ばず、古い部品を使っているサイトを道具で自動的に探して入り込みます。会社の大きさは関係ありません。むしろ守りの薄いサイトほど、踏み台として使いやすいと見られます。
ホームページが乗っ取られると、誰に被害が出ますか
自社より先に、サイトを訪れたお客様と取引先に出ることが多いです。偽のログイン画面、ウイルスの配布、問い合わせフォームの中身の抜き取り、本物の会社名を使った偽メールなどに使われます。
Content-Security-Policy が無いと、すぐに入られるのですか
それだけで入られるわけではありません。ただ、プラグインや古い部品の穴から悪いスクリプトを入れられたとき、それが動くのを止める最後の備えです。無いと、入られたあとの被害を止められません。
まず何から始めればよいですか
ホームページを最後に更新した時期を確かめ、制作会社やサーバー会社に、部品の版と守りの設定の状況を聞いてみてください。外から見える範囲なら、URLを入れるだけの診断でもおおよそ分かります。
