2024/04/16
久々の自分のための休日
notesサイト改ざんで勉強、考察したこと
改ざんされたホームページを直しても、再度改ざんされてしまったこと。
すぎなか整骨院のホームページがサイト改ざん被害にあって、明らかにホームページを見て下さる方々が減った事がわかりました。
やはり、ホームページが詐欺サイトとして認められている状態になってしまうと、インターネットで治療してくれるところを探していても見つけられない状況になってしまうということがわかりました。
なんで、1人で施術を行っている整骨院がターゲットになってしまったのか考えてみます。
①すぎなか整骨院のホームページを検索すると、詐欺通販サイトへページが飛んでしまうことから、すぎなか整骨院のホームページの価値を下げるために改善されたと言うこと。
②顧客情報やキャッシュレス決済等を行っていないホームページなのに、狙われてホームページが解散されたこと。
③ホームページのブログをたくさんアップしていて、不利益を被る人が私1人であること。
このようなことから考えていくと、
ホームページ集客に力を入れている同業者が意地悪をしているのではないかと言う結論にいたりました。
このことは、インターネットに詳しいホームページ制作会社にも言われたことです。
世の中では以前から行われていることのようです。
ライバル店を潰すために、狙われたのではないかと言う結論です。
不利益になるのはすぎなか整骨院であって、他の方には不利益はほとんどない。患者さんがホームページを検索してもホームページを見られないことはありました。
利益になるのは同業者やライバルでしょう。
実際にホームページを見て来院される方がいなくなりました。
ホームページを作る会社があれば、
ホームページを壊す会社もある
ということです。
ハッカーに依頼してすれば良いだけなので簡単です。
お金を払えば、ライバルを簡単に痛めつけることが可能なのです。
いろいろ考えても、
安価で
誰にもわからず
競合店をつぶしていく手段としてはかなり的確なことのように感じます。
実際、自分のホームページを検索したところ、すぎなか整骨院で検索すると、
「すぎなか整骨院 逮捕」
と言う検索項目が出ることになってしまっていました。
当然、私は逮捕されるような事は何もしていませんのでご心配なく。
これも、すぎなか整骨院の評価を落とすために仕組まれた罠だと思います。
すぎなか整骨院のホームページが改ざんされてから、ひどく落ち込みました。
何が起きたのか全くわからないままでいたので、何をしたらいいのか全くわからないままでした。
レンタルサーバーに連絡して、ホームページが違うページに飛んでしまうことを伝えてもレンタルサーバーは全く関係ありませんと言われてしまいました。
検索エンジンがおかしいと言われたので、GoogleやYahoo!に連絡してみましたが、返事がないままです。
自分でいろいろ調べていくと、fastreet と言う通販サイトが詐欺サイトであったことがわかり、ホームページ制作会社に連絡してみたところ、ホームページが乗っ取られたということを知りました。
それから、ホームページに仕組まれたサイト改ざん情報を発見していただき、取り除いてもらうことにしました。
しかし、サイト改ざん情報を取り除いても、再度同じ状況になってしまいました。
どうやら、改ざん情報を取り除くと、取りきれていないプログラムからすぐさま同じ状況に改ざんされていくようになっていたようです。
インターネットの事はよく分かりませんが、ホームページ制作会社は言っていました。
いろいろ調べてみたところ、中小企業のホームページが狙われていて、ホームページが改ざん被害にあっていることが、近年増えているよです。
以下はネットから抜粋。
中小企業のホームページが狙われる３つの理由
サイバー攻撃の標的が大企業から中小企業に向かっていることをあらわすデータとして、情報セキュリティサービスの大手・シマンテック社が発表した調査結果です。
報告では、サイバー攻撃を受けた会社のうち大企業が占める割合が年々減少しているのに対し、従業員250人以下の小規模企業の割合が2011年から５年間で２倍以上に上昇していることが示されています。
明らかに今、中小企業のホームページ・セキュリティ対策の必要性が高まっています。
例えば、2016年に京都の健康食品販売会社が不正アクセスされたケースでは、被害に遭った企業の従業員わずか10名でした。
なぜ、このような小さな企業までが、ターゲットになってしまったのでしょうか？
中小企業が狙われるようになった理由は下記の３点です。
１）中小企業は、セキュリティ対策が不十分なまま放置されているケースが多いから
中小企業がサイバー攻撃の標的になっている理由のひとつは、大企業と比べてセキュリティ対策が十分に整備されていないことが多く、攻めやすいということがあげられます。
多くの中小企業では自社の対策が十分ではないことを認識しつつもセキュリティ対策にあてる費用と人員に余裕がなく、結果的に恰好の標的になってしまうのです。
２）大企業を狙うより、中小企業の方が効率よく成果を得られるから
近年、大企業や中央官庁のセキュリティ対策が向上したことも影響しています。
2016年にKPMGコンサルティング社が発表した調査結果によると、
売上高500億円以上の国内企業の４割が、セキュリティ対策に1,000万円以上の投資をしていることが明らかになりましたが、小さな企業では実行可能なセキュリティ対策も限られています。
大企業と中小企業のセキュリティ対策には大きなひらきがあり、効率よく中小企業を狙う考えが広がっているのです。
３）中小企業を突破口にすると大企業を攻撃しやすいから
自社にはハッキングされても困るような情報がないから大丈夫だと考えている企業もありますが、それは必ずしも攻撃をされない理由にはなりません。
堅いセキュリティの大企業を正面から攻撃するのを避け、セキュリティの甘い中小企業を大企業に侵入するための突破口として、大企業の顧客情報や営業機密を狙うケースもあるのです。
また、攻撃者の手法も年々多様化・巧妙化してきており、いつまでも古いセキュリティ意識ではいつ自社のホームページが被害に遭っても不思議ではありません。
自社のセキュリティの甘さから重要情報を漏洩させてしまうと、取引先や顧客からの信頼を失ってしまい、その回復は容易ではありません。場合によっては賠償を求められる場合も…。
このような被害に遭わないためには、早急にセキュリティ対策を見直す必要があるでしょう。
企業ホームページを狙ったサイバー攻撃の３大被害
企業のホームページがサイバー攻撃を受けると、実際にどのような被害を及ぼすのでしょうか。改めて、そのリスクを知り、ホームページ・セキュリティへの意識を高めていきましょう。
被害内容は、大きく以下の３つに分けられます。
１）ホームページの改ざん、消去
ホームページが改ざんされると、ユーザーに伝えたい情報を伝えられなくなり、見込み客へのアピールができなくなります。また改ざんされたホームページにアクセスしたユーザーが、他のWebサイトに誘導され不正プログラムをダウンロードしてしまうケースもあります。
２）ホームページをダウンさせられる
DoS攻撃などによってWebサーバーに過剰な負荷をかけられると、アクセスしにくい状態に陥ります。結果的にサーバーダウンを引き起こし、サービスが提供できなくなり経済的ダメージを受けてしまいます。
３）ホームページを介して情報を盗まれる
ホームページに不正アクセスし、サーバー上に保存していた個人情報などのデータが盗まれる被害も近年多く発生しています。
盗まれた情報は悪質な業者の手に渡る可能性があり、重要情報の漏えいが発覚すれば、企業の信頼回復は容易ではありません。また顧客への説明や補償が発生する場合もあります。
企業ホームページを狙ったサイバー攻撃の手口
水飲み場型攻撃
この攻撃は、対象となるユーザーが普段アクセスするホームページ（水飲み場）を改ざんし、ユーザーに気付かれないようにランサムウェア（PCをロックし元に戻すことと引き換えに身代金を要求する）などのマルウェアに感染させようとする攻撃です。
肉食動物が獲物を捕らえる際に、水飲み場の近くで獲物を待ち伏せしていることからこの名が付けられました。
自社のWebサイトが水飲み場になり、攻撃に使われないようにするためには、定期的にサイトの診断が必要です。ホームページを常時SSL化しておくことも効果的です。
＜被害例＞
2013年8月から9月にかけて、地方自治体のニュースなどを提供するWebサイト「47行政ジャーナル」が何者かに水飲み場型攻撃された。サイトは改ざんによって不正なコードが埋め込まれ、アクセスしたユーザーはマルウェアに感染する可能性に脅かされた。
DoS攻撃・DDoS攻撃・DRDoS攻撃
これらの攻撃は、コンピュータから大量のデータを送りつけて対象を過負荷状態に陥らせる手口です。国内向けのホームページであれば、サイバー攻撃の多い海外からのアクセスを遮断するのも有効な対策となります。
＜被害例＞
2015年11月21日、厚生労働省のホームページが国際ハッカー集団「アノニマス」と思われる人物からDDoS攻撃を受け、一時閲覧できなくなった。厚労省は攻撃からシステムを守るためサーバーを停止することとなったが、翌2016年にも同様の被害に遭った。
ブルートフォースアタック（総当たり攻撃）
この攻撃は、ツ－ルを使ってIDとパスワードのすべての組み合わせを試して認証の突破を試みる方法です。こうして不正ログインされた結果、金銭や情報を窃取されたりホームページを改ざんされたりします。複雑で長い強固なパスワードを設定することで、攻撃を防ぐ効果があります。
＜被害例＞
2018年に12月に発生したクレジットカードの不正利用事件では、カード情報を入力する際に繰り返し間違えてもロックがかかる機能がなかったため、ブルートフォースアタックではないかと指摘された。この事件を受けて、入力回数に制限を設けるなどの対策が行われた。
クリックジャッキング
この攻撃は、ホームページ上に、透明で見えない状態にしたリンクやボタンをかぶせて、意図しないクリックをさせるものです。結果として、不正なプログラムを実行させられたり、意図しないWebサイトへ飛ばされたりする、といった被害をこうむります。
このような被害を防ぐ対策としては、ブラウザでJavaScriptやFlashなどを無効にすること、OSなどの最新のセキュリティアップデートを適用することがあります。
＜被害例＞
2009年、Twitter上に「クリックしてはいけない」というメッセージ付きのリンクが、Twitterアカウントに掲載される被害が相次いだ。リンクにはクリックジャッキングの仕掛けが施されており、リンクをクリックすると、自分のTwitterアカウントにも同じリンクが掲載され被害が広がった。
