Webサイトの改ざん報告は月平均400件、早急な対策実施を

JPCERT/CCによれば、Webサイトの改ざん報告は月平均400件あり、9月からの増加が懸念されている。

[ITmedia]

　JPCERT コーディネーションセンター（JPCERT/CC）と情報処理推進機構（IPA）は8月13日、Webサイト運営者や管理者に対して、Webサイトの改ざん対策を早急に講じるよう呼び掛けた。9月頃から改ざん被害の増加が懸念されるためだという。

　JPCERT/CCによると、2013年7〜12月期には4378件の改ざん報告があり、9月以降は高止まりの状況が続いた。2014年1〜6月期の報告は2624件でやや減少したものの、依然として月平均400件程度の報告がある。

JPCERT/CCへのWebサイト改ざんの報告件数

　これまでの報告からWebサイト改ざんの手口と対策には以下の3つがあるという。

1.サーバソフトウェアに残存する脆弱性を狙った攻撃

　古いバージョンやサポートが終了したバージョンのサーバソフトウェアに存在する脆弱性を悪用し、悪意あるWebサイトへ誘導するよう、不正なファイルをWebサイトに設置したり、悪意あるプログラムを実行させるための改ざんを行ったりする。

対策：最新バージョンへのアップデートおよび、サポートが継続している製品へ移行する。

2.Webサイト管理端末への侵入

　Webサイトを管理する端末のOSやアプリケーションの脆弱性を解消していない場合、それを狙ったウイルスが侵入すると、その管理端末から認証情報が窃取されてしまう。管理者権限が悪用され、Webサイトが改ざんされる。

対策：管理端末用のOSやアプリケーションを最新の状態に管理するとともに、ネットワーク構成を見直してWebサイトを更新できる端末を限定する。

SQLインジェクションを用いた攻撃

　Webサイトを構築するWebアプリケーションにSQLインジェクションの脆弱性が存在する場合、Webアプリケーションの入力フォームに悪意ある動作をさせるための値を意図的に入力することで、データベースシステムを不正に操作し、Webサイトを改ざんする。

対策：SQLを用いてデータベースを制御するWebアプリケーションは、入力フォームへの悪意のある入力値を無効化するようにプログラミングする。

　JPCERT/CCではWebサイト改ざんの発見や被害の報告、被害対応の依頼を受け付けている。