クマひよ工房EC-CUBEのサイトが改ざんされたとき、何が起きていたか｜通報から封じ込めまでの記録
ある日、EC-CUBEでお店を運営しているお客様から、クマひよ工房に問い合わせがありました。「外部の機関から、サイトが改ざんされていると連絡が来た」という内容です。
この記事では、そのサイトに何が仕込まれていたか、どうやって入られたのかを記録からたどった流れと、ひとまず行った封じ込めをまとめます。最後に、同じことが起きたときにすることと、ふだんからできる備えを紹介します。お客様が特定されないよう、細かな情報はぼかしています。
何が起きたか
サイトの改ざんに気づいたのは、お店でも工房でもなく、外部の機関でした。機関からお店に通報があり、お店から工房に連絡が来ました。
改ざんは、外から見ただけでは分からないことがほとんどです。ページの見た目は変わらず、いつもどおり注文も入ります。今回も、通報がなければ気づけないままでした。
何が仕込まれていたか
サイト全体で読み込まれるJavaScriptのファイルの末尾に、人が読めないように加工されたプログラムが足されていました。
解析すると、購入手続きのページで動き、外から送られてきたプログラムを、お客様のブラウザで動かせるようにする仕掛けでした。それ自体は何をするとも書かれておらず、攻撃する側が好きなプログラムを後から送り込めます。購入手続きのページを狙っていたことから、お客様が入力する決済の情報を盗むのが狙いと見られます。また、セキュリティ製品に気づかれにくい通信を使っていました。
解析は、インターネットにつながらない環境に、プログラムを取り込んで行いました。中身の分からないプログラムは、パソコンで開いたり、動かしたりしないでください。開くだけで動いてしまうものもあります。
工房が調べたこと
影響の見積もり
まず、何が漏れるおそれがあるかを見積もりました。購入手続きのページでは、お客様の名前、メールアドレス、住所、カード情報を入力します。これらがすべて、盗まれるおそれのある情報です。
カード情報だけでなく、メールアドレスも油断できません。ほかのサービスで同じパスワードを使っているお客様がいれば、不正なログインにつながることがあります。
サイトのバックアップは取ってあり、元に戻すこと自体はできる状態でした。
記録をたどる
次に、ファイルがいつ、どこから、どうやって書き換えられたのかを、記録（ログ）からたどりました。
- Webサーバの記録から、ファイルが書き換えられた時刻と、その操作が海外のサーバから行われたことが分かりました。
- ファイルを書き換える操作は、管理画面からしかできません。そこでEC-CUBEの記録を見ると、書き換えの少し前に、見知らぬ管理者アカウントがログインしていました。
- 2つの記録を並べると、「管理者アカウントを作ってログインし、管理画面のファイル管理からファイルを書き換えた」という流れになりました。
アプリとサーバの両方を見る
今回、EC-CUBEの記録だけ、サーバの記録だけでは、流れがつながりませんでした。Webサーバの記録からは「どこから、いつ」が、EC-CUBEの記録からは「誰として」が分かり、両方を並べて初めて、何が起きたのかが見えました。
改ざんの調べは、アプリとサーバの境目をまたぎます。EC-CUBEを作った会社とサーバの会社が別々だと、それぞれが自分の側だけを見て、流れがつかめないことがあります。
ひとまず行った封じ込め
被害を広げないために、次の対策をすぐに取りました。
- 仕込まれたプログラムを取り除く
- 見知らぬ管理者アカウントを消す
- 管理画面に入れる人を絞る
- サーバとデータベースのパスワードを変える
- 設定ファイルなど、見られては困るファイルが外から見えないか確かめる
- 公開の場所に残っていたバックアップや不要なファイルを消す
運営者が今日からできること
通報を受けたら、ファイルを自分で消さない
改ざんの連絡を受けると、怪しいファイルをすぐに消したくなります。ただ、ファイルや記録が残っていれば、いつ、どこから入られたのかを調べられます。自分で消したり書き換えたりせず、そのままの状態で、保守の担当者にすぐ連絡してください。記録は日がたつと消えることがあるため、早いほど調べられることが増えます。
報告と連絡が必要になる
お客様の情報が漏れたおそれがあるときは、お店として行う報告と連絡があります。
- 個人情報保護委員会への報告 - 不正なアクセスで個人データが漏れたおそれがあるときは、報告と、お客様本人への通知が必要です。漏れたと確定する前の「おそれ」の段階でも対象になります。速報は、知ってから3〜5日以内が目安です。
- 決済代行会社やカード会社への連絡 - カード情報が漏れたおそれがあるときは、契約している決済代行会社やカード会社に連絡します。
報告の期限や様式は、個人情報保護委員会のページで確かめてください。
ふだんの備え
今回の改ざんは、管理画面を乗っ取られるところから始まりました。管理画面の守りを固めることが、いちばん効く備えになります。
- 管理画面に入れる人を絞る - 決まった場所からしか入れないようにする、IDとパスワードとは別の確認を挟むなど。カード決済を使うEC加盟店には、2025年4月から、管理画面へのアクセス制限などの対策が求められています。
- 管理者アカウントを定期的に見直す - 知らないアカウントや、辞めた人のアカウントが残っていないか、ときどき管理画面で確かめます。
- バックアップを取っておく - 改ざんされる前の状態があれば、どのファイルが変わったのかを比べられ、元に戻すこともできます。
- 公開の場所に不要なファイルを置かない - 作業のときに作ったバックアップや古いファイルが、外から見える場所に残っていることがあります。
- EC-CUBEとプラグインを更新する - 脆弱性が直された版が出たら、早めに当てます。
相談先
改ざんの連絡を受けたときの調べと封じ込めや、管理画面の守りの見直しはセキュリティの対応で、ふだんの見守りと更新は見守り契約で、ご相談を承っています。作ったのが誰でも、どこのサーバでも、お引き受けします。