クマひよ工房セキュリティの対応セキュリティが心配なとき
運用中のEC-CUBEで、セキュリティの心配があるときのご相談をお受けします。
何が起きているか分からないときは、まず調べて、分かったことと、どう対応するかの判断の材料をお渡しします。
こんなとき
何が起きているか分からないとき
- 見覚えのない管理者アカウントがある
- 見覚えのないファイルや、書き換えられたファイルがある
- セキュリティ会社やサーバ会社から、不正なコードが入っていると指摘された
- 不審な注文や、お問い合わせフォームからの不審な送信が続いている
やることが決まっているとき
- EC-CUBEやプラグインの脆弱性の告知を見た
- 決済代行会社やカード会社から、セキュリティ対策の実施を求められた
攻撃なのか不具合なのか分からなくても、こちらでお受けします。
何が起きているか分からないとき
まず調べて、何が起きたのか、何が起きていないのかを分かる言葉でお伝えします。原因を特定できないこともありますが、そのときも、どこまで調べて何が分からなかったのかをお伝えします。
気づいたときに
- 見覚えのないアカウントやファイルは、削除する前にご相談ください。調査の手がかりが消えてしまうことがあります
- 見覚えのないファイルは、ブラウザでそのURLを開いたり、ダウンロードして開いたりしないでください。開いただけで不正なコードが動いたり、調査の手がかりが変わったりすることがあります
- 気づいたこと、気づいた日時、そのあとにしたことを、メモしておいてください
対応の流れ
-
様子を伺う
何に気づいたか、いつ気づいたか、そのあとに何をしたかを伺います。
-
調査費用のお見積り
何が見つかるか分からないため、まず調査費用だけのお見積りをお出しします。
-
調査
お見積りにご同意いただいてから、サーバや管理画面のアカウントを伺い、調査を始めます。
-
ご報告
調べた結果をご報告します（下の「ご報告する内容」）。
-
対策のお見積りと対応
クマひよ工房でできる対策は、お見積りをお出しし、ご判断いただいてから対応します。
-
確認と納品
対策の内容をご確認いただき、納品です。
手間をかけずに解消できそうな場合は、調査費用の範囲で対応します。
ご報告する内容
- 調べた範囲と、調べられなかった範囲
- 見つかったこと。原因を特定できたときはその原因、特定できなかったときはその理由
- 不正なコードが見つかったときは、そのコードが何をするものか（情報を外に送る、ほかのサイトを攻撃するなど）。必要に応じて、お客様のサイトとは切り離した場所で調べます
- クマひよ工房でできる対策と、そのお見積り
- セキュリティの専門会社へのご依頼をおすすめするかどうか
専門会社へのご依頼をおすすめするとき
調査の結果をもとに、クマひよ工房で対応できるか、専門会社にご依頼いただいたほうがよいかをご提案します。
たとえば
- カード情報や、お客様の個人情報が漏れた疑いがある
- 被害がEC-CUBEの外（サーバ全体や、ほかのシステム）に及んでいる
- 調査に必要な記録（ログ）が残っておらず、原因を追いきれない
見逃しがあることを前提に
どれだけ丁寧に調べても、見逃しをなくすことはできません。取り返しのつかない判断につながらないよう、次のことを守ります。
- 何も見つからなかったときも、「問題ありません」とは言わず、「今回の調査では見つかりませんでした」とお伝えします
- 調べた範囲と、調べられなかった範囲を、必ずご報告に書きます
- クマひよ工房で対応するか、専門会社におすすめするかで迷うときは、専門会社をおすすめします
- 記録（ログ）の削除や、復旧のためのファイルの置き換えなど、調査の手がかりが失われる作業は、ご相談なく行いません
専門会社にご依頼されるとき
専門会社にご依頼される場合も、そこで終わりにはしません。クマひよ工房でできることをお手伝いします。
- 記録（ログ）やソースコードのご提供
- サイトの構成のご説明
- 専門会社が提案した対策の実装
専門会社の探し方
やることが決まっているとき
脆弱性の告知を見た、決済代行会社やカード会社から対策を求められた。何をすればいいかが決まっているときは、機能追加と同じ流れでお受けします。
対応の流れ
-
お話を伺う
告知や要請の内容と、今のサイトの状態を伺います。
-
必要な作業の確認
ご自分のサイトが該当するか、何をすればよいかを確かめます。
-
お見積り
必要な作業と費用、期間をお見積りします。
-
作業
お見積りにご同意いただいてから、作業に必要なサーバのアカウントなどを伺い、作業を始めます。
-
確認と納品
動作をご確認いただき、納品です。
お見積りの前に、事前の調査が別途必要になる場合があります。
脆弱性の告知を見たとき
当てはまるかどうかは、EC-CUBEのバージョンのほか、入れているプラグインやカスタマイズによっても変わります。まずはバージョンをお確かめください。
| EC-CUBE | バージョンを見る場所 |
|---|---|
| 4系 | 管理画面の「設定」→「システム設定」→「システム情報」 |
| 3系 | 管理画面の「設定」→「システム情報設定」→「システム情報」 |
| 2系 | 管理画面の「システム設定」→「システム情報」 |
脆弱性ごとに当てはまるかの確かめ方は、コラムの記事でご案内しています。
決済代行会社やカード会社から求められたとき
求められた項目のうち、EC-CUBEとサーバで対応できる作業を行います。チェックシートなどへの回答が必要なときは、項目ごとに、何をしたか、今どうなっているかをまとめてお渡しします。回答は、お客様から出していただきます。
要件を満たしているかを最後に判断するのは、決済代行会社やカード会社です。
管理画面のアカウントロックを求められたとき
クマひよ工房のプラグインでも対応できます。
お受けしないこと
次のことは、クマひよ工房ではお受けしていません。必要なときは、専門会社をおすすめします。
- 証拠を保全するための調査（デジタルフォレンジック）
- カード会社が求める、カード情報の漏洩の正式な調査
- 警察や役所への届け出の代行
組織全体のセキュリティ対策
社内のパソコンやネットワークなど、EC-CUBEとサーバの外にあるセキュリティ対策は、原則としてお受けしていません。内容によっては、ご相談に応じます。
分かる範囲で教えてほしいこと
すべてそろっていなくてもお受けします。
- EC-CUBEのバージョン（2系・3系・4系のどれかだけでも構いません）
- 気づいたこと（見覚えのないアカウントやファイル、セキュリティ会社や決済代行会社からの指摘の内容）
- いつ気づいたか。そのあとに、パスワードの変更やファイルの削除などをしたか
- 今使っているサーバ（レンタルサーバ、VPS、クラウドなど。分からなくても構いません）
- 入れているプラグインと、制作会社や社内の方によるカスタマイズの有無
サーバにファイルを置くためのアカウント（FTPアカウント）や、管理画面のパスワードは、ご相談フォームには書かないでください。お見積りにご同意いただいたあと、調査を始めるときに伺います。
受付時間：土日祝と年末年始を除く、9時〜17時
レンタルサーバの場合
レンタルサーバでは、サーバ会社の環境によって、調査に使う記録（ログ）を見られないことがあります。見られなかった記録は、調べられなかった範囲としてご報告に書きます。
対策も、サーバ会社から与えられた権限の範囲での対応になります。できる範囲は、最初にお伝えします。
料金の目安
| 項目 | 料金 |
|---|---|
| 何が起きているか分からないときの調査 | 150,000円 |
| 調査のあとの対策 | 調査の結果とあわせてお見積り |
| やることが決まっているときの対策 | 30,000円から |
- 何が起きているか分からないときは、最初のお見積りは調査費用だけです
- やることが決まっているときは、必要な作業を洗い出して、お見積りします
- お支払いは納品後、月末締め・翌月末払いです
そのあと
対応が終わったら、それで終わりにしていただいて構いません。
EC-CUBEやPHPに出た修正の反映（パッチの適用）や、バックアップを続けて任せたいときは、見守り契約もお選びいただけます。どちらも、見守り契約で確保した作業時間の中で行います。
| ご相談の内容 | ご相談先 | 料金 |
|---|---|---|
| 何が起きているか調べてほしい | このページ（セキュリティの対応） | 調査費用 150,000円 |
| やることが決まっている対策をしてほしい | このページ（セキュリティの対応） | 30,000円から |
| 日頃から続けて見てほしい | 見守り契約 | 月額30,000円から（年契約） |