放置された古いCMSから、改ざんページが公開された

本記事は、よく見られる被害の流れをもとに構成したモデルケースです。特定の企業・事件を指すものではありません。

何が起きたのか

1. 5年前：サイトを公開制作会社がWordPressでコーポレートサイトを制作。公開後の保守契約は結ばず、更新は社内で「お知らせ」を年に数回書くだけになりました。
2. 3年前〜：本体とプラグインが古いまま管理画面に「更新があります」と表示されていましたが、「触って壊れたら困る」と放置。使っていたフォームのプラグインには、のちに既知の脆弱性が公表されていました。
3. ある日：改ざん攻撃者は、古いバージョンを使っているサイトを自動で探し回るツールでこのサイトを発見。脆弱性を突いてファイルを書き換え、スマートフォンから来た訪問者だけを偽の通販サイトへ転送する仕掛けを埋め込みました。
4. 数週間後：発覚社内の担当者はパソコンで確認していたため、異変に気づきませんでした。取引先からの連絡で初めて発覚し、サイトを一時閉鎖。復旧と調査に約1か月かかりました。

入口になった“ほころび”

この事例の入口は、高度な攻撃技術ではありません。「公表済みの脆弱性があるバージョンを、使い続けていた」という一点です。

• 本体・プラグインの更新放置：脆弱性が公表されると、それを狙う攻撃は数日から数週間で始まることがあります。
• バージョン情報が外から見えていた：ページのソースやファイルの中に使用中のバージョンが表示されていて、攻撃者が「狙える相手」かどうかをすぐに判断できました。
• 保守の担当が決まっていなかった：制作会社は「保守は契約外」、社内は「制作会社が見ているはず」と、お互いに相手が見ていると思い込んでいました。

なぜ気づけなかったのか

最近の改ざんは、見た目を派手に書き換えるより、気づかれないように長く悪用するものが増えています。特定の端末や検索エンジン経由の訪問者だけを転送したり、管理者がログインしているときは正常に見せたりする手口があり、社内の確認だけでは見落としがちです。

今日からできる確認

1. 管理画面で更新の有無を確認する：本体・テーマ・プラグインに更新が出ていないか見てください。何年も更新が止まっているプラグインは、使わないなら削除するのが安全です。
2. スマートフォンでも、検索結果からサイトを開く：ブックマークからではなく検索結果のリンクから、パソコンとスマートフォンの両方で開いてみます。
3. 保守の担当を書き出す：サーバー・ドメイン・CMSの更新を「誰が」「どの頻度で」見るのかを、制作会社とのあいだで明文化します。
4. バックアップの取り方を確認する：改ざん前の状態に戻せるバックアップが、サーバーとは別の場所にあるかを確認します。

外から見て古いバージョンが表示されていないか、既知の脆弱性と一致する製品を使っていないかは、まもりスキャンの簡易診断でも確認できます。