WordPressの脆弱性によるWebサイト改ざん事件まとめ

無料登録可能資格保持のセキュリティ専門家に無料相談できる【セキュリティエージェント】

HTMLやCMSの知識を保有していなくても、WEBサイトの構築が可能となる「オープンソースCMS」は、ライセンス料金が発生しないということもあり、世界中で利用されるシステムです。しかし“利用者が多い”ということは、そこを狙う“攻撃者も同程度存在している”と考えることが自然です。

今回は、オープンソースCMSの中で最も利用されている「WordPress」に焦点を当て、近年増加しているサイト改ざんの手法についてまとめていきたいと思います。

相談無料WordPressセキュリティ強化

WordPressが狙われている

今や世界中のWebサイトの４分の１はWordPressで作られています。2016年にAutomatticが発表した内容によると世界の27.1%のWebサイトはWordPressで作成されているとのことです。

多くのシェアを持つ製品が悪意を持った犯罪者に狙われるというのは、古今東西よくある話です。IT業界でもOS製品で91.7%(2016年12月 Net Applications報告による)という圧倒的なシェアを持つWindowsは常に悪意を持った犯罪者たちによってターゲットとされてきました。今やWebサイトでは、このターゲットはWordPressとなっているのです。

WordPressへの具体的な攻撃方法

しかし、WordPressのサイトはいったいどういった方法で狙われ、攻撃されているのでしょうか。サイトの攻撃は主に「不正ログイン」と「脆弱性の悪用」の２つがありますが、ここでは後者について見ていきます。

脆弱性の悪用

脆弱性を悪用して攻撃する場合のターゲットや仕組みは以下の３つとなります。

クライアントPC
ターゲット型攻撃によってマルウェア等に感染させ、そこから情報流出させる。
WordPressの本体
本体の脆弱性を悪用してWebサイトの改ざんやサイトからの情報の不正取得を行う。
プラグイン
WordPressには非常に多くのプラグインがあるが、プラグインには脆弱性の問題がある場合があり、それを悪用してWebサイトの改ざんや情報の不正取得が行われるケースがある。

攻撃の概要とターゲットがわかったところで、具体的なセキュリティ事故の事例をいくつか見てみましょう。

WordPressのセキュリティ事故事例

１　REST APIの脆弱性によるWebサイトの改ざん

2017年2月10日にThreatpostにより公開されたもので、WordPressのREST APIに存在する脆弱性のため、リモートでデータの書き換えが行えるようになるというもの。「WordPress 4.7.2」で対応がなされているが、バージョンアップされていなかった150万を超えるサイトが攻撃を受けた。