会社のWebサイトのセキュリティ対策 改ざんを防ぐために確かめたいこと

「うちのような小さな会社のサイトが、狙われることはないだろう」「制作会社に任せているから、セキュリティは大丈夫なはず」。こう考えて、Webサイトのセキュリティをあまり気にしていない、という方もいらっしゃるのではないでしょうか。

しかし、Webサイトへの攻撃の多くは、会社の規模に関係なく、弱点のあるサイトを機械的に探して行われています。この記事では、会社のWebサイトを改ざんや乗っ取りから守るために、Web担当者が確かめておきたい対策をご紹介します。

01会社のWebサイトで起きやすい被害

まずは、どのような被害が起きているのかを知っておきましょう。会社のWebサイトで起きやすいのは、次のような被害です。

• ページの改ざん：ページの内容が書き換えられ、関係のない情報や、不正なサイトへのリンクが載せられます。
• 不正なプログラムの埋め込み：見た目は変わらないまま、閲覧した方を不正なサイトに誘導するプログラムが仕込まれます。
• 入力フォームの悪用：問い合わせや会員登録のフォームから、入力された情報が盗まれます。
• 迷惑メールの送信元にされる：サーバーが乗っ取られ、大量の迷惑メールの送信に使われます。

こうした被害は、自社だけでなく、サイトを訪れた方にも被害を広げてしまいます。会社の信頼にも大きく関わるため、日ごろから備えておきましょう。

02日ごろからやっておきたい対策

では、どのような対策をしておけばよいのでしょうか。警察などが示している対策をもとに、Web担当者が確かめておきたいことをまとめました。

ソフトウェアの更新

サーバーのOSや、CMS、CMSに追加しているプラグインなどに弱点（脆弱性）が見つかると、そこを狙った攻撃が行われます。そのため、更新が出たら早めに適用しておくことが基本です。特に、提供が終わって更新が出なくなったソフトウェアを使い続けていないかは、一度確かめておきましょう。

管理画面のIDとパスワード

CMSの管理画面に入るためのIDとパスワードが漏れると、サイトを自由に書き換えられてしまいます。推測されにくいパスワードを使い、ほかのサービスと使い回さないようにしましょう。二段階認証が使える場合は、設定しておくのがおすすめです。また、管理画面に入れる場所（IPアドレス）を、社内などに限る方法もあります。

使っていないアカウントやファイルの削除

退職した方や、作業が終わった制作会社のアカウントが、そのまま残っていることはよくあります。使っていないアカウントは、早めに削除しておきましょう。あわせて、テスト用のページや、公開するつもりのないファイルがサーバーに置かれたままになっていないかも確かめておきます。

バックアップ

万一、改ざんされたときに、元の状態に戻せるよう、定期的にバックアップを取っておきましょう。バックアップは、サーバーとは別の場所に保存しておくと安心です。

通信の暗号化

サイト全体を、https から始まる暗号化された通信で表示するようにしておきます。特に、問い合わせや会員登録など、情報を入力してもらうページでは、優先して押さえておきたい対策です。

03改ざんに早く気づくために

一方で、どれだけ対策をしていても、被害を完全に防げるとは限りません。そのため、改ざんに早く気づくための確認も大切です。次のような点を、定期的に確かめておきましょう。

• 入力フォームや購入のページに、見覚えのないプログラムが追加されていないか
• いつもと違う画面や、見覚えのないページが表示されていないか
• 検索で「site:自社のドメイン」と調べたときに、見覚えのないページが出てこないか
• サーバーのアクセスの記録に、不審なアクセスがないか

この中で、Web担当者がすぐに試せるのが、検索での確認です。自社が作った覚えのないページが検索結果に出てくる場合は、サイトが改ざんされている可能性があります。

04被害にあったときの対応

改ざんに気づいたときは、慌てずに、次の流れで対応しましょう。

1. サイトを止める：被害を広げないよう、サイトの公開を止めます。
2. 記録を残す：アクセスの記録などを保存し、証拠として残します。
3. 原因を調べる：どこから侵入されたのかを調べます。制作会社やサーバーの事業者にも協力を求めます。
4. 弱点をふさぐ：ソフトウェアの更新や、パスワードの変更を行います。
5. 相談・報告する：警察の相談窓口に相談します。個人情報が漏れたおそれがある場合は、個人情報保護委員会への報告が必要になることもあります。

被害にあったときに慌てないよう、社内の連絡先や、制作会社・サーバー事業者の窓口を、あらかじめ一覧にしておくと安心です。

05セキュリティ対策のチェックリスト

最後に、自社のサイトの状態を確かめるためのチェックリストです。

まとめ

会社のWebサイトへの攻撃は、規模に関係なく、弱点のあるサイトを狙って行われています。ソフトウェアを最新に保つこと、管理画面のパスワードを守ること、使っていないアカウントを消すことの3つから、まずは確かめてみましょう。

あわせて、更新や管理の手間を減らしたい場合は、サーバーやソフトウェアの更新を提供元が行ってくれる、クラウド型のCMSを選ぶのも1つの方法です。CMSの種類ごとの違いは、「CMSの選び方 種類の違いと、比べるときの7つのポイント」で紹介しています。