CMSの脆弱性を狙ったサイバー攻撃の事例

CMSを使用してWebサイトを運営する場合には、脆弱性を狙ったサイバー攻撃に注意する必要があります。そこで、こちらのページでは実際に起きたCMSの脆弱性が狙われた事件や事例についてまとめました。

どのような事例が発生したかという点に加えて、セキュリティを高める対策についても紹介していますので、Webサイトを運営する際の参考にしてみてください。

CMSの脆弱性を狙った事件・事例（情報漏洩）

ここでは、CMSの脆弱性が狙われた事件や事例などについて紹介していきます。

コンテンツの改ざん攻撃

WordPressの脆弱性を狙ったコンテンツの改ざん攻撃が2017年2月に発生しています。こちらの事件が発生した原因としては、WordPressの使い勝手を良くするために実装されている機能である「REST API 4.7.1」に脆弱性があったという点。投稿IDの検証不備がこちらの脆弱性が発生した原因とされています。

REST API 4.7.1の機能を悪用することにより、権限のないコンテンツの書き換えができるようになっており、さらに悪用が簡単に行える状態になっていました。特定の内容を含んだリクエストをGETまたはPOSTデータとして攻撃したいURLに送ると、コンテンツ内容の改ざんが可能となっており、結果として全世界で155万以上のサイトが攻撃されています。

WordPressではこの脆弱性の発表前に修正版であるWordPress 4.7.2を公開。この修正版リリースの1週間後に脆弱性の公開を行っています。

WordPressのプラグイン「WP Job Manager」の脆弱性を狙った攻撃

また、WordPressのプラグインの脆弱性を狙った攻撃も発生しています。WordPressの仕組みとして、さまざまなプラグインをインストールすることにより、自由にカスタマイズを行えるようになる点が特徴のひとつとなっています。プラグインは便利な仕組みではあるものの、このプラグインに脆弱性があることによって攻撃されるといったケースもあるのです。

この事例で攻撃されたのは、求人情報用のプラグインである「WP Job Manager」です。こちらのプラグインにおいて1.26.2より前のバージョンにおいては、アクセス制限不備という脆弱性がありました。この脆弱性を悪用すると、第三者による画像アップロードが可能となり、実際に改ざんが複数件報告されています。

こちらの脆弱性については、1.26.2により修正が行われています。

WordPressのプラグイン「WP Mobile Detector」の脆弱性を狙った攻撃

もう1件、WordPressのプラグインを狙った攻撃について紹介します。

「WP Mobile Detector」という、ウェブサイトのモバイル対応に使用されるプラグインを狙った攻撃も発生しています。このプラグインは、サイトを閲覧しているデバイスを検出し、スマートフォンに合ったWordPressテーマでの表示を可能にします。このプラグインには、任意のファイルをアップロードできるといった脆弱性があり、これが攻撃の標的となった原因となっています。

こちらの脆弱性については、信用できないソースからの入力内容を検証できないというものがありましたが、リサイズ用のプログラムに脆弱性があり、「allow_url_fopen」のオプションが有効になっている場合に影響を受ける状況となっていたため、こちらのオプションを無効にすることによって被害を防げます。

大学における個人流出

2022年12月、とある国立大学にて不正アクセスによる個人情報の流出が起きたということが発表されています。

個人流出が発生した原因としては、同大学で運用されていた研究室ホームページのCMS管理者IDとパスワードが詐取された点が挙げられています。このことによりCMSが学外から不正アクセスを受けてしまい、改ざん・不正プログラムの書き込みが行われた、といった内容になっています。

ここで書き込まれた不正プログラムは当該サーバ内の他のサイトの保存領域にもアクセスが可能となっていたようです。同年10月に外部機関から「同学が運営している研究室の外部公開ホームページ用サーバより迷惑メールの送信が行われている」という通報から、こちらの攻撃を受けたことが発覚しています。

攻撃によりECサイトよりカード情報が盗まれる

2018年に、CMSを活用したオープンソースのプラットフォームである「Magento」で運用されていたECサイトが一斉にサイバー攻撃される事件が発生しています。

こちらのサイバー攻撃を行った攻撃者は、Magentoの管理パネルへのアクセスによって不正なコードを追加していますが、このことによってユーザーの支払い処理を見れる状態に。さらに、クレジットカード情報を外部へ転送させることも行っており、ユーザーのカード情報が盗まれたという状況となりました。

このように、ECサイトはサイバー犯罪者から攻撃されやすいWebサイトのひとつとなっており、ECサイトが狙われるといった被害は後を絶たないといった状況があります。

対策例

上記でご紹介した通り、CMSの脆弱性を狙ったサイバー攻撃は非常に多く発生しています。このような攻撃を受けないためにも、セキュリティ対策についてご紹介していきます。

CMSのバージョンを最新に保つ

CMSのバージョンが古いまま運用していると、脆弱性が残ったままの状態となってしまうためバージョンを最新に保つことが必要です。さらに、古いバージョンのままだと、「このサイトはセキュリティ管理が甘い」という印象を与えることにより狙われやすくなります。

定期的なパスワードの変更

パスワードが見破られてしまわないように、定期的にパスワードを変更すること、また単純なパスワードにはしないという点が大切です。すなわち複雑なパスワードにし、さらに定期的に変更する癖をつけるようにしましょう。

プラグインの使用は最小限にする

オープン型のCMSの場合、プラグインを利用できる点がメリットの一つです。しかし、中にはセキュリティが甘いものもあるために、使用する数は最小限に留め、使用しなくなったらすぐに削除することが大切です。

逆にあれもこれも、といったように使用するプラグインの数が多くなるほど狙われやすくなります。

WAFの導入

WAFを導入することによって、Webサイトのセキュリティ強化を図れます。こちらは、ファイアウォールやID S/IPS製品では対応できないアプリケーションレイヤのセキュリティを高められます。

まとめ

CMSを狙ったサイバー攻撃は多く発生していることから、Webサイトを運営する場合にはセキュリティ対策に気を配ることが非常に重要になってきます。一度サイバー攻撃を受けてしまい、被害が発生すると信用の低下や損害賠償請求といった可能性も考えられます。そのため、上記のような対策をしっかりと行い、CMSのセキュリティを高めていきましょう。