ホーム> ブログ> 【セキュリティTopics】発見の難しいWEBページの改ざん事例について

ブログ

ブログ

2017.02.16(木) セキュリティ

【セキュリティTopics】発見の難しいWEBページの改ざん事例について

  • このエントリーをはてなブックマークに追加

【セキュリティTopics】発見の難しいWEBページの改ざん事例について

こんにちは。ナビプラス、サイバーリスク研究所 所長の片山です。

みなさん、ブログや自社サイトはCMSを使って構築されているケースも多いかと思いますが、セキュリティの対策は万全ですか?

セキュリティ対策をきちんと行わないと、Webサイトが改ざんされるなどの被害に合います。
悪用の方法は下記のようにいろいろと想定されますが、例えば以下のような内容です。

● 政治的な主義主張を行う
● 同業他社(または自社)の誹謗中傷や、風評被害を生むような表示を行う
● 入力フォームを表示させて個人情報やクレジットカード番号、IDとパスワードを盗む

サイバーリスク研究所では、日々の調査の中で、単純なwebサイトの改ざんでは無く、「マルウェアをWebサイトに送り込まれることにより、発見されることを難しくした改ざん」が行われていることを確認していますので、本日は事例とその内容、対処法をご紹介します。


事例

下記の例では、米国政府機関のWEBページを検索していますが、その検索結果には、「FXとは?」といったように、米国政府機関が表示を行いたい内容とかけ離れていると考えられるものが表示されています。このことにより、改ざんされた情報が表示されていると推測されます。


※2月9日 ナビプラスにてGoogleの検索結果をキャプチャ

Webサイト改ざんの内容

古いバージョンのCMSやpluginを使用されている場合、既知の脆弱性が修正されていないとマルウェアに感染する場合があります。そして、感染したマルウェアは、下記のような挙動を行います。

● googleおよびyahoo等の検索エンジンが使用している情報収集用のBOTからのアクセス(User-Agent情報が当該の検索エンジンを表すアクセス)において、改ざんしたWEBページの情報を返す

● googleおよびyahoo等の検索エンジンによる検索結果経由でのアクセス(Referer情報が当該の検索エンジンの結果経由を表すアクセス)において、改ざんしたWEBページの情報を表示させる

● 上記以外のアクセス(URLの直接入力等のアクセス)において、「404 not found」や「真っ白な空白ページ」の情報を表示させる


対処方法

適切な対応を行わないと、改ざんされたWebページは検索エンジンの検索結果に残り続けます。そのため、WEBページの改ざんに気付いた際、サイトの管理者は下記のような対処を行う必要があります。本手順は、コンテンツの改ざんが行われてしまった場合の基本的な手順です。

● 使用しているCMS本体および使用しているpluginを最新版に更新する
● 感染しているマルウェアの除去する
● 改ざんされているコンテンツを、正しいコンテンツへ差し替える
● 検索エンジンのサービス会社に対して、検索結果の修正およびキャッシュデータの更新を依頼する

予防策として最も大切なのは、使用されているCMS本体、CMSのpluginのバージョン管理を適切に行い最新バージョンであることを維持することです。そして、各CMSで使用するテーマやpluginに関しては、第三者のレビューを受けて公式ディレクトリに公開されているテーマやpluginを使用することを強く推奨します。

「自社サイトの改ざん被害に合ってしまった」などセキュリティに関してお困りのことや、自分で対応出来ない場合がございましたら、お気軽にご相談ください。


【本件に関するお問合せ先】
株式会社ナビプラス サイバーリスク研究所:片山
Email:navicert@naviplus.co.jp

■サイバーリスク研究所について
 サイバーリスク研究所は、あらゆるサイバーリスクから法人企業を守るために2015年に設立されました。近年増え続ける個人情報の漏えい、Webサイトの改ざん、DDoS攻撃などのサイバーリスクによる法人企業の損害を防ぐためにディジタルフォレンジックスおよびハニーポットを用いた攻撃の先見性や過去に発生した各種脆弱性情報に基づいたサイバー攻撃の調査等のサイバーセキュリティに関する研究を行っています。
研究の成果から、インシデントレスポンスサービスや脆弱性診断サービス等のセキュリティ強化の支援、CSIRT(Computer Security Incident Response Team)の構築運用支援、学会やIPA等の公共機関やセミナー等の情報提供を行っています。

  • このエントリーをはてなブックマークに追加

担当者必見!お役立ち資料ダウンロード

サイト内検索やレコメンドに関する
お役立ち資料・ノウハウ資料が
無料でダウンロードできます!

PAGE TOP