あのさ、WordPressのプラグインって便利だよね。で、これ、実際にあった話なんだけど、友人が運営してる小さなブログサイトが、ある日突然、変なページにリダイレクトされるようになったんだよ。で、調べてみたら、使ってたプラグインの脆弱性を突かれて、攻撃ボットにやられてたんだよね。
まあ、これ、決して他人事じゃないんだよ。で、今回は、脆弱なプラグインを狙った自動化された攻撃ボットの動きについて、詳しく解説していくよ。
なぜプラグインが狙われるのか？
これ、まず最初に理解しておかないといけないのが、「なぜプラグインが狙われるのか？」ってことなんだよね。
まあ、統計データを見ると、実に55.9%の攻撃がプラグインの脆弱性によるものなんだって。つまり、WordPressサイトへの攻撃の半分以上が、プラグインの脆弱性を突いてくるってわけ。
これ、なぜかって言うと、プラグインって、WordPressのコア部分と違って、開発者のスキルや更新頻度がバラバラなんだよね。で、中には、もう何年も更新されてないプラグインとかもあるわけ。
あのさ、これ、実際に僕も経験したことがあるんだけど、昔、あるプラグインを使ってたんだよ。で、そのプラグイン、すごく便利だったから、ずっと使い続けてたんだけど、ある日、WordPressの管理画面に「このプラグインは2年以上更新されていません」って警告が出たんだよね。
まあ、「別に動いてるし、いいか」って思って、そのまま使い続けてたんだけど、数ヶ月後に、そのプラグインの脆弱性を突いた攻撃が大規模に発生して、僕のサイトも被害に遭ったんだよ。マジで焦ったよ。
これ、何が言いたいかって言うと、プラグインの脆弱性は、攻撃者にとって格好の標的なんだよね。
攻撃ボットの動き：自動化された攻撃の仕組み
ここからが本題なんだけど、脆弱なプラグインを狙った攻撃って、実は完全に自動化されてるんだよね。
まあ、攻撃者が一つ一つのサイトを手動で攻撃してるわけじゃなくて、攻撃ボットっていうプログラムが、自動的に脆弱性を探して、攻撃してくるわけ。
この攻撃ボットの動きを詳しく見ていこう。
ステップ1: スキャン用ボットによる脆弱性探索
まず、攻撃ボットは、インターネット上のWordPressサイトを片っ端からスキャンしていくんだよ。で、これ、マジで無差別なんだよね。
あのさ、「うちのサイトは小さいから狙われないだろう」って思ってる人、多いと思うんだけど、それ、完全に間違いなんだよ。攻撃ボットは、サイトの規模とか関係なく、既知の脆弱性があるかどうかだけをチェックしてるんだよね。
具体的には、こんな感じでスキャンしてくる:
- 管理画面（
/wp-login.php）へのアクセス: ログイン画面が存在するかをチェック - XML-RPCへのアクセス: XML-RPC機能が有効かをチェック
- REST APIへのアクセス: REST APIの誤設定がないかをチェック
- 既知の脆弱プラグインの検出: プラグインのバージョン情報を取得して、既知の脆弱性があるかをチェック
これ、全部自動でやってるんだよ。マジで怖いよね。
ステップ2: 既知の脆弱性を一斉に叩く
スキャンで脆弱性が見つかったら、次は既知の脆弱性を一斉に叩いてくるんだよ。
まあ、これ、どういうことかって言うと、例えば、「File Managerプラグインのバージョン6.0から6.8には、リモートコード実行の脆弱性がある」っていう情報が公開されたとするよね。
攻撃ボットは、その情報をすぐに取り込んで、「File Managerプラグインのバージョン6.0から6.8を使ってるサイト」を片っ端から攻撃してくるわけ。
これ、実際に2020年に起きた事件なんだけど、File Managerプラグインの脆弱性が発見されて、実に60万以上のWordPressサイトに影響を与えたんだよ。
開発者は数時間以内にパッチを適用したバージョン（File Manager 6.9）をリリースしたんだけど、多くのユーザーがすぐに更新を行わなかったため、30万以上のサイトに脆弱性が残る結果となって、ハッカーはすぐにこれを悪用したんだよね。
まあ、これ、マジでヤバいよね。で、こういう攻撃って、完全に自動化されてるから、脆弱性が公開されてから数時間以内に、大規模な攻撃が始まるんだよ。
ステップ3: 侵入口を見つけた瞬間の行動
攻撃ボットが脆弱性を見つけて、侵入に成功したら、次はマルウェアの設置やリダイレクト改ざんを行うんだよ。
これ、マジで一瞬なんだよね。侵入口を見つけた瞬間に、自動的にマルウェアを設置して、サイトを乗っ取るわけ。
具体的には、こんな感じの攻撃が行われる:
- バックドアの設置: 再度侵入できるように、バックドアを設置する
- マルウェアのアップロード: 悪意のあるスクリプトをアップロードして、サイトを改ざんする
- リダイレクト改ざん: サイトにアクセスしたユーザーを、別の悪意のあるサイトにリダイレクトする
- スパムリンクの埋め込み: サイト内にスパムリンクを大量に埋め込んで、SEOスパムを行う
これ、全部自動でやってるんだよ。マジで恐ろしいよね。
あのさ、これ、実際に僕の友人が経験したことなんだけど、ある日突然、自分のサイトにアクセスしたら、変な広告サイトにリダイレクトされるようになったんだよ。で、調べてみたら、使ってたプラグインの脆弱性を突かれて、リダイレクト改ざんされてたんだよね。
まあ、そのプラグイン、もう何年も更新されてなかったんだけど、「別に動いてるし、いいか」って思って、そのまま使い続けてたらしいんだよ。で、結局、攻撃ボットにやられたってわけ。
具体的な攻撃手口
ここからは、攻撃ボットが使う具体的な攻撃手口を見ていこう。
1. ユーザー名の推測
まず、攻撃ボットは、ユーザー名の推測を行うんだよ。
これ、どういうことかって言うと、WordPressのデフォルトのユーザー名って、「admin」なんだよね。で、多くの人が、そのまま「admin」を使ってるわけ。
攻撃ボットは、まず「admin」でログインを試みるんだよ。で、もし「admin」が存在しなかったら、次は「administrator」とか「user」とか、よくあるユーザー名を片っ端から試してくるわけ。
これ、マジで簡単に推測されちゃうんだよね。
2. 弱いパスワード総当たり
ユーザー名が推測できたら、次は弱いパスワード総当たりを行うんだよ。
まあ、これ、ブルートフォース攻撃って言うんだけど、よくあるパスワード（「password」とか「123456」とか）を片っ端から試してくるわけ。
これ、マジで恐ろしいんだけど、攻撃ボットは、1秒間に何百回もログインを試みることができるんだよ。で、もし弱いパスワードを使ってたら、数分以内に突破されちゃうんだよね。
あのさ、これ、実際にあった話なんだけど、ある企業のWordPressサイトが、ブルートフォース攻撃で乗っ取られたことがあるんだよ。で、調べてみたら、パスワードが「password123」だったんだって。マジか…って思ったよね。
3. 古いプラグインの既知脆弱性の悪用
これが一番多い攻撃手口なんだけど、古いプラグインの既知脆弱性の悪用なんだよ。
まあ、さっきも言ったけど、プラグインって、開発者のスキルや更新頻度がバラバラなんだよね。で、中には、もう何年も更新されてないプラグインとかもあるわけ。
攻撃ボットは、そういう古いプラグインの既知脆弱性を狙ってくるんだよ。
これ、具体的な例を挙げると、2023年に「Eval PHP」っていうプラグインが、ハッカーに悪用されたことがあるんだよ。
このプラグイン、元々、WordPressの投稿や固定ページ内でPHPコードを実行できるように設計されてたんだけど、10年以上放置されてたんだよね。
攻撃者は、この放置されたプラグインを悪用して、サイトにバックドアをつくって、不正にアクセスしたんだよ。
まあ、これ、マジでヤバいよね。10年以上放置されてたプラグインが、突然攻撃の標的になるんだから。
4. REST APIの誤設定の悪用
最後に、REST APIの誤設定の悪用なんだけど、これも結構多い攻撃手口なんだよ。
まあ、WordPressのREST APIって、外部からWordPressのデータにアクセスできる機能なんだけど、設定を間違えると、誰でもデータを取得したり、改ざんしたりできちゃうんだよね。
攻撃ボットは、REST APIの誤設定を見つけると、それを悪用して、サイトのコンテンツを改ざんしたり、ユーザー情報を盗んだりするわけ。
これ、実際にあった話なんだけど、あるサイトが、REST APIの設定ミスで、誰でも投稿を編集できる状態になってたんだよ。で、攻撃者は、それを悪用して、サイト内の全ての投稿にスパムリンクを埋め込んだんだよね。
まあ、これ、マジで恐ろしいよね。
攻撃の影響：小規模サイトでも狙われる理由
ここまで読んで、「うちのサイトは小さいから大丈夫だろう」って思ってる人、いるかもしれないけど、それ、完全に間違いなんだよ。
まあ、さっきも言ったけど、攻撃ボットは、サイトの規模とか関係なく、既知の脆弱性があるかどうかだけをチェックしてるんだよね。
実際に、小規模なサイトでも、大規模な攻撃の被害に遭ってるケースが多いんだよ。
これ、なぜかって言うと、攻撃ボットは、完全に自動化されてるから、人手の審査はほぼないんだよね。つまり、「小さい＝見逃される」は成り立たないわけ。
具体的には、こんな感じの影響がある:
1. マルウェアの設置
まず、攻撃ボットが侵入に成功すると、マルウェアを設置されるんだよ。
このマルウェア、サイトにアクセスしたユーザーのパソコンに感染して、個人情報を盗んだり、他のサイトへの攻撃に利用されたりするんだよね。
まあ、これ、サイト運営者だけじゃなくて、サイトにアクセスしたユーザーにも被害が及ぶから、マジでヤバいんだよ。
2. リダイレクト改ざん
次に、リダイレクト改ざんなんだけど、これも結構多い被害なんだよ。
まあ、サイトにアクセスしたユーザーを、別の悪意のあるサイトにリダイレクトするわけ。で、そのリダイレクト先で、フィッシング詐欺とか、マルウェアのダウンロードとかが行われるんだよね。
これ、ユーザーからしたら、「このサイト、怪しいな」って思われるから、信頼を失っちゃうんだよ。
3. SEOスパム
最後に、SEOスパムなんだけど、これも結構厄介なんだよ。
まあ、攻撃者は、サイト内にスパムリンクを大量に埋め込んで、自分のサイトのSEOを上げようとするわけ。で、これ、サイト運営者からしたら、Googleからペナルティを受けて、検索順位が下がっちゃうんだよね。
まあ、これ、マジで最悪なんだよ。せっかく頑張ってSEO対策してたのに、攻撃者のせいで全部台無しになっちゃうんだから。
対策：攻撃ボットから身を守るために
ここまで読んで、「じゃあ、どうすればいいんだよ！」って思ってる人、多いと思うんだけど、ここからは、具体的な対策を紹介していくよ。
1. プラグインの定期更新
まず、一番重要なのが、プラグインの定期更新なんだよ。
これ、マジで基本中の基本なんだけど、意外とやってない人が多いんだよね。
まあ、プラグインの開発者は、脆弱性が見つかったら、すぐにパッチを適用したバージョンをリリースするんだけど、ユーザーが更新しないと意味がないんだよ。
WordPressの管理画面に、「更新が利用可能です」って通知が出たら、すぐに更新するようにしよう。
あのさ、これ、実際に僕がやってることなんだけど、毎週月曜日の朝に、WordPressの管理画面をチェックして、更新があったら全部更新するようにしてるんだよ。で、これ、習慣にしちゃえば、そんなに手間じゃないんだよね。
2. 不要なプラグインの削除
次に、不要なプラグインの削除なんだけど、これも結構重要なんだよ。
まあ、使ってないプラグインって、無効化してるだけで、削除してない人が多いと思うんだけど、それ、マジで危険なんだよ。
なぜかって言うと、無効化してるプラグインでも、脆弱性があれば攻撃の標的になるんだよね。
だから、使ってないプラグインは、無効化するだけじゃなくて、完全に削除するようにしよう。
3. セキュリティプラグインの導入
次に、セキュリティプラグインの導入なんだけど、これも結構効果的なんだよ。
まあ、セキュリティプラグインって、ログイン試行のブロックとか、ファイル改ざん検知とか、WAF（Web Application Firewall）とか、色々な機能があるんだよね。
これ、導入するだけで、かなりの攻撃を防げるんだよ。
おすすめのセキュリティプラグインは、以下の通り:
- Wordfence Security: ファイアウォール、マルウェアスキャン、ログイン試行のブロックなど、総合的なセキュリティ機能を提供
- iThemes Security: ログイン試行のブロック、ファイル改ざん検知、データベースのバックアップなど
- Sucuri Security: マルウェアスキャン、ファイル改ざん検知、セキュリティ通知など
まあ、これ、無料版でも十分な機能があるから、まずは導入してみるといいよ。
4. ログ監視と異常通知
最後に、ログ監視と異常通知なんだけど、これも結構重要なんだよ。
まあ、攻撃ボットがサイトをスキャンしてる時点で、ログに記録が残るんだよね。で、そのログを監視して、異常なアクセスがあったら、すぐに通知が来るようにしておくと、早期に攻撃を検知できるんだよ。
セキュリティプラグインの中には、ログ監視と異常通知の機能があるものもあるから、それを活用するといいよ。
あのさ、これ、実際に僕が経験したことなんだけど、ある日、セキュリティプラグインから「ログイン試行が100回以上ブロックされました」って通知が来たんだよ。で、調べてみたら、攻撃ボットがブルートフォース攻撃を仕掛けてきてたんだよね。
まあ、セキュリティプラグインのおかげで、攻撃をブロックできたんだけど、もしログ監視してなかったら、気づかなかったかもしれないんだよ。
まとめ：専門家に依頼すべきケース
ここまで、脆弱なプラグインを狙った自動化された攻撃ボットの動きと、その対策について解説してきたんだけど、正直、自分で全部やるのは結構大変なんだよね。
特に、以下のようなケースでは、専門家に依頼することを強くお勧めするよ:
- 既に攻撃を受けている場合: マルウェアの除去やサイトの復旧は、専門的な知識が必要
- 大規模なサイトを運営している場合: アクセス数が多いサイトは、攻撃の影響も大きいから、プロに任せた方が安心
- セキュリティ対策の知識がない場合: 自分でやると、逆に脆弱性を作ってしまう可能性もある
まあ、専門家に依頼すると、費用はかかるけど、サイトの安全性を確保できるから、長期的に見れば安いと思うよ。
あのさ、これ、実際に僕の友人が経験したことなんだけど、自分でセキュリティ対策をやろうとして、逆にサイトを壊しちゃったことがあるんだよ。で、結局、専門家に依頼して、復旧してもらったんだけど、最初から専門家に頼んでおけばよかったって言ってたよ。
だから、もし自信がなかったら、無理せずに専門家に相談することをお勧めするよ。
WordPressのセキュリティ、不安に思っていませんか？
「自分のサイトは大丈夫だろうか…」
「何から手をつければいいか分からない…」
もしあなたが少しでもそう感じているなら、専門家によるセキュリティ診断を受けてみることを強くお勧めします。
上記のサイトでは、WordPressのプロがあなたのサイトの脆弱性を無料で診断してくれます。問題が見つかれば、具体的な対策方法についてもアドバイスをもらえます。手遅れになる前に、一度プロの目でチェックしてもらい、安心を手に入れましょう。