預けたサーバー経由で、管理画面に侵入された

本記事は、よく見られる被害の流れをもとに構成したモデルケースです。特定の企業・事件を指すものではありません。

何が起きたのか

1. 数年前：サーバーを契約総務の担当者がレンタルサーバーを契約。ログインIDとパスワードは、覚えやすいように普段使っている別のネットサービスと同じものにしました。制作会社や前任者とも共有し、社内の共有フォルダにメモとして保存していました。
2. 半年前：別のサービスから情報が流出担当者が個人で使っていた別のWebサービスで、利用者のIDとパスワードが流出していました。本人は気づいていません。
3. ある夜：サーバーの管理画面にログインされる攻撃者は、流出したIDとパスワードの組み合わせを、さまざまなサービスで機械的に試します。レンタルサーバーの契約管理画面でもそのまま通ってしまいました。2要素認証は設定されていませんでした。
4. その後：サイトの管理画面まで乗っ取られるサーバーの管理画面からは、ファイルやデータベース、メールアカウントを操作できます。攻撃者はWebサイトの管理者アカウントを新たに追加し、宣伝目的の偽ページを大量に設置。さらに会社のメールアカウントから迷惑メールが送られ、取引先からも問い合わせが相次ぎました。

入口になった“ほころび”

攻撃者は、サーバー会社の仕組みを破ったわけではありません。「正しいIDとパスワード」で、正面から入ってきたのです。そうなった背景には、いくつかの積み重ねがありました。

• パスワードの使い回し：どこか1つのサービスから漏れると、同じ組み合わせを使っている別のサービスにも入られてしまいます。流出した組み合わせを片っ端から試す手口は、「パスワードリスト攻撃」と呼ばれています。
• 2要素認証を使っていなかった：パスワードに加えて、スマートフォンのアプリなどで確認する仕組みがあれば、パスワードが漏れていても多くの場合はログインを防げました。
• アカウントの共有：担当者、前任者、制作会社が同じIDを使い、メモが共有フォルダに置かれていました。誰が知っているのか、もう誰にも分からない状態でした。
• 管理画面が誰でも開ける場所にあった：サーバーやWebサイトの管理画面のURLは、初期設定のままだと推測しやすいものがあります。世界中のどこからでもログイン画面を開けたことで、試行を受け続けていました。

預け先が破られても、被害を広げないために

この事例で被害が大きくなったのは、1つの鍵で、サーバー・Webサイト・メールのすべてが開く構造になっていたからです。パスワードは、使う側の流出だけでなく、まれにサービス提供側の不備によって漏れることもあります。どこか1か所が破られても、ほかに広がらないようにしておくことが大切です。

• 鍵を分ける：サーバーの契約管理、Webサイトの管理画面、ドメインの管理、メールは、それぞれ別のパスワードにします。
• 人ごとにアカウントを分ける：制作会社に作業してもらうときは、専用のアカウントを発行し、作業が終わったら削除します。誰がいつ何をしたかも追いやすくなります。
• 異変に早く気づく：多くのサーバー会社やCMSでは、ログイン通知やログイン履歴を確認できます。今回の会社も、通知を受け取る設定にしていたことで、発覚までの時間を縮められました。

今日からできる確認

1. パスワードの使い回しをやめる：サーバー、Webサイト、ドメイン、メールの管理画面のパスワードが、ほかのサービスと同じになっていないか確認し、同じなら変更します。パスワード管理ツールを使うと、長く複雑なパスワードでも無理なく運用できます。
2. 2要素認証を有効にする：サーバー会社やドメイン管理会社の管理画面に、2要素認証の設定があるか確認し、あれば有効にします。
3. アカウントを棚卸しする：ログイン情報を知っている人を書き出し、退職者や、今は付き合いのない制作会社が含まれていたら、パスワード変更やアカウント削除を行います。
4. 管理画面へのアクセスを絞る：接続元を限定する設定や、海外からのログインを制限する機能がないか、サーバー会社や制作会社に相談します。
5. ログイン履歴を見る：管理画面のログイン履歴に、心当たりのない日時や場所がないかを確認します。

パスワードの変更や2要素認証の設定は、ほとんどの場合、費用をかけずに今日から行えます。一方で、いったん乗っ取られると、偽ページの削除や迷惑メールの後始末、取引先への説明に多くの時間を取られます。Webサイトの管理画面が外から誰でも開ける状態になっていないかは、まもりスキャンの簡易診断でも確認できます。