サイバーセキュリティーサービスの比較・資料請求サイト|中小企業向けのセキュリティ対策を考える「サイバーセキュリティ」に関する情報メディア。日本の中小企業の情報を守るため、最新のセミナー・人材育成・製品・中小企業向けのセキュリティ対策を考えるサイバーセキュリティ情報サイトです。

WEBサイト改ざんの手口や被害を受けた際の対処法・対策まで徹底解説



Webサイトの改ざんとは、悪意を持った第三者がサイト管理人の意図しない変更を勝手に行うことです。

もし、改ざんの被害を受けた場合、所有者の意図に反する不適切な情報を発信させられたり、サイト訪問者をマルウェアに感染させてしまったり、ユーザーを詐欺サイトへ強制的にリダイレクトさせられたり、スパムメールを拡散させる踏み台にさせられたりしてしまうなど、あらゆるトラブルに発展する恐れがあります。

そのため、改ざん被害を受けた企業は早急な対応を取らないとブランドイメージを損ないかねず、また事業面でも大きな痛手を被ることになりかねなません。そのためにも実害の有無にかかわらず、企業はWebサイトの運営において適切な対処・対策を行わなければならないのです。

この記事では、Webサイトが改ざんされる原因やその手口、および対処・対策方法などについて徹底解説します。

Webサイト改ざんの手口

Webサイトの改ざん手口としては主に「サイトの脆弱性」や「アカウント乗っ取り」です。

サイトの脆弱性を狙う改ざん

脆弱性とはセキュリティ上の欠点のことで「セキュリティホール」とも呼ばれます。よくある脆弱性を突いたサイバー攻撃に、以下のようなものがあります。

  • SQLインジェクション

これはSQL(データベース操作言語)を悪用し、Webアプリの脆弱性を突いたサイバー攻撃です。脆弱性のあるWebアプリに不正なSQLが送信されると、外部からデータベースを操作され、その結果、データの窃取や改ざんが行われたり、サイトに不正なスクリプト(マルウェア)が埋め込まれることがあります。特にマルウェアの拡散をもたらすサイト改ざんは、知らぬ間に被害者である企業が加害者となってしまう深刻な脅威といえるでしょう。

  • クロスサイト・スクリプティング

これは動的サイト(例:SNS、動画共有サービス)に対して、その脆弱性を利用して悪意のある不正なスクリプトを挿入するサイバー攻撃です。たとえばユーザーに不正なURLにクリックさせることで、閲覧者のブラウザにショッキングなサイトを表示させたり、悪意のあるフェイクニュースを流したりします。

  • ゼロデイ攻撃

これはサーバーのOSやCMS(コンテンツ管理システム)などに脆弱性が発見され、メーカーから更新プログラムが準備されるまでの、ごく短い期間を狙った卑劣な攻撃です。なお、ゼロデイとは「0日目」のことで、脆弱性が見つかり修正パッチが配布される1日目(ワンデイ)よりも早く攻撃が行われることから、この名前が付きました。

管理人のアカウント乗っ取り

アカウント乗っ取りの手口は主に以下の2つです。

  • システムの脆弱性(標準型メール攻撃によるマルウェア感染など)
  • 人間の脆弱性(ビジネスパートナーの裏切り行為など)

いずれにせよ、サイト管理人のアカウント情報が流出すると、権限を勝手に使われ、最悪サーバ自体を乗っ取られかねません。なお、不正ログインの手法は年々高度になってきており、対策を困難にさせています。なお、正規のログイン情報を用いたアカウント乗っ取りは、コンピュータも不正アクセスだと認識しにくく、発覚が遅れる傾向があります。

Webサイト改ざんのもたらす被害

改ざんによる被害は、以下のようなものがあります。

  • Webサイトの内容やデザインが改ざんされた場合
    ⇒ユーザーや取引先に迷惑をかけるだけでなく、企業やブランドの信用失墜に繋がる
  • 悪意あるプログラムや不正なコードを埋め込まれた場合
    ⇒アクセスしたユーザーをマルウェアに感染させたり、詐欺サイトへ強制的にリダイレクトさせたりする。ユーザーに対する実害が及んだ場合は、管理責任を追及されかねず、訴訟のリスクもある。
  • お問い合わせなど入力フォームの改ざんされた場合
    ⇒入力した個人情報が勝手に外部へ送信されるなど、深刻な情報漏えいにつながる。
  • システムへ不正ログインや乗っ取られた場合
    ⇒最悪の場合、サーバ自体を乗っ取られます。

Webサイト改ざんの被害を受けた際の対処法

Webサイトが実際に改ざんされた場合は、どうすれば良いのでしょうか。そのような場合に行うべき対処法は以下の通りです。

STEP1:通信を遮断し、メンテナンス中にする

Webサイトを改ざんされてしまったら、すぐに通信を遮断し、外部からのアクセスをストップします。なお、マルウェアに感染している可能性もあるため、メンテナンス作業は別の端末で作業するのが望ましいです。

STEP2:バックアップからサイトを復元する

改ざんされたファイルやコードには何らかの悪意が込められているため、削除や修正が必要です。なお、サイトデータをバックアップしていた場合、サイトの早急な復元が可能です。ただし、最新のデータでバックアップできていないと、それまでのデータは失われてしまいます。

STEP3:専門業者に相談する

Webサイトの改ざんが発覚後、サイトの脆弱性や被害全容を正確に把握したいという方もいるでしょうが、ハッカーは足跡を残さないよう、データを意図的に削除していたりすることが多々あるため、個人での調査にはどうしても限界があります。このような場合、特殊な技術を用いてデータを復元・抽出することができる「フォレンジック調査」の専門業者に相談すると、非常に高い精度で調査を行うことが出来ます。

なお「フォレンジック調査」の詳細については以下の記事で詳しく紹介しております。

おすすめの専門業者

おすすめのフォレンジック調査会社として「デジタルデータフォレンジック」を紹介します。

不正アクセスやハッキングのフォレンジック調査には、非常に高度な技術や専門知識が要求されますので、自社で調査を行うことが難しい場合は、フォレンジックの専門業者へ相談してみるのも一つの手といえるでしょう。自社で行うよりも適切かつ正確な調査を行えます。

デジタルデータフォレンジック

サイトデジタルデータフォレンジック

デジタルデータフォレンジックは国内売上No.1のデータ復旧業者が提供しているフォレンジックサービスです。

  • 端末、ネットワーク解析
  • 損害保険の鑑定業務
  • 各種インシデント対応
  • 警察への捜査協力
  • パスワード解除

Webサイトの改ざん、マルウェア感染、不正アクセス、ハッキング調査など法人を対象とした社内インシデントに対応している専門性の高い業者です。年中無休で無料相談も受け付けているため、突然のトラブルにもスムーズに対応することが出来ます。また警視庁からの捜査依頼実績も多数あることから、実績面でも信頼ができ、費用面でも安心といえるでしょう。

費用 電話かメールにてお見積り
調査対象 パソコン、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など
サービス ハッキング・不正アクセス調査、データ改竄調査、マルウェア・ランサムウェア感染調査、退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査など
特長 年中無休で無料相談が可能
11年連続国内売上No.1のデータ復元サービス
警視庁からの捜査協力依頼実績が多数あり

Webサイト改ざんの被害を防ぐ対策方法

Webサイトの改ざんは「サイトの脆弱性」「マルウェア感染」「FTPパスワードの流出」などで引き起こされます。言い換えれば、サイトの改ざんを未然に防ぐには、堅牢なセキュリティ対策を行わなければなりません。

パソコンの環境を整備する

まずは手始めにパソコンの基本的なセキュリティ環境を整えましょう。

  • 脆弱性をなくすため、OSのアップデートを欠かさず行う
  • セキュリティ対策ソフトを最新に更新し、ウイルススキャンを実施する
  • Adobe Reader、Flash Playerなどのアプリケーションを最新版に更新する
  • パソコンにパスワードを設定し、推測が困難なパスワードを利用する

FTPサーバーを暗号化する

FTPとは、ネットワーク上でファイルをやり取りする通信方式の1つで、数多くのWebサイトが同規格を採用しています。ただし、FTPは古い通信方式であるため、通信データを暗号化することが出来ません。そのため、FTPを使い続けると必然的に改ざんされるリスクが高まります。

こうしたFTPの脆弱性をカバーする暗号化通信が「FTPS」です。FTPSには「正常な通信」か「改ざん」かを自動で判定し、処理を行う「改ざん検知機能」も搭載されているため、安全にデータのやり取りを行うことができます。

パスワード管理の徹底

Webサイト管理システムの運用において、パスワードポリシーを定めるなど、パスワード管理の徹底は基本的ながら必須の対策です。パスワードを簡単なものに設定、あるいは使い回しをしているケースは少なくないため、可能であれば、二段階認証やワンタイムパスワードなどの導入も検討しましょう。

マルウェアに対応したセキュリティ製品を導入する

Webサイトの改ざんは、セキュリティソフトを導入することで、ある程度リスクを低減することができます。

しかし、従来のセキュリティソフトで防御できるマルウェアは全体の約45%と言われており、マルウェアの侵入を防ぐセキュリティ対策だけでは不完全です。

一方で、新手のマルウェアに対応したセキュリティ製品も一定数存在しており、たとえばマルウェアが端末に侵入した後の監視型駆除や外部との不正通信遮断といった、感染前提のセキュリティ製品であれば、改ざんのリスクを抑えることが可能です。

おすすめのセキュリティ製品については、下記の記事で詳しく紹介しています。

まとめ

Webサイトの改ざんは、企業の事業継続に大きな支障をもたらしかねず、企業の管理責任が問われることは必至です。Webサイトの改ざんは、知らぬ間に被害者である企業が加害者となってしまう深刻な脅威といえるでしょう。

今や被害に遭うことは避けられないという前提で考え、記事内で紹介したセキュリティ対策を講じておきましょう。

  • LINEで送る

書籍「情報漏洩対策のキホン」プレゼント


当サイトへの会員登録で、下記内容の書籍「情報漏洩対策のキホン」3000円相当PDFプレゼント
(実際にAmazonで売られている書籍のPDF版を無料プレゼント:中小企業向け大企業向け

下記は中小企業向けの目次になります。

  1. 1.はじめに

  2. 2.あなたの会社の情報が漏洩したら?

  3. 3.正しく恐れるべき脅威トップ5を事例付きで
    •  3-1.ランサムウェアによる被害
    •  3-2.標的型攻撃による機密情報の窃取
    •  3-3.テレワーク等のニューノーマルな働き方を狙った攻撃
    •  3-4.サプライチェーンの弱点を悪用した攻撃
    •  3-5.ビジネスメール詐欺による金銭被害
    •  3-6.内部不正による情報漏洩

  4. 4.情報漏洩事件・被害事例一覧

  5. 5.高度化するサイバー犯罪
    •  5-1.ランサムウェア✕標的型攻撃のあわせ技
    •  5-2.大人数で・じっくりと・大規模に攻める
    •  5-3.境界の曖昧化 内と外の概念が崩壊

  6. 6.中小企業がITセキュリティ対策としてできること
    •  6-1.経営層必読!まず行うべき組織的対策
    •  6-2.構想を具体化する技術的対策
    •  6-3.人的対策およびノウハウ・知的対策

  7. 7.サイバーセキュリティ知っ得用語集

無料でここまでわかります!
ぜひ下記より会員登録をして無料ダウンロードしてみてはいかがでしょうか?

無料会員登録はこちら

SNSでもご購読できます。