ブログ

改ざんされたホームページを直しても、再度改ざんされてしまったこと。

すぎなか整骨院のホームページがサイト改ざん被害にあって、明らかにホームページを見て下さる方々が減った事がわかりました。
やはり、ホームページが詐欺サイトとして認められている状態になってしまうと、インターネットで治療してくれるところを探していても見つけられない状況になってしまうということがわかりました。

なんで、1人で施術を行っている整骨院がターゲットになってしまったのか考えてみます。

①すぎなか整骨院のホームページを検索すると、詐欺通販サイトへページが飛んでしまうことから、すぎなか整骨院のホームページの価値を下げるために改善されたと言うこと。

②顧客情報やキャッシュレス決済等を行っていないホームページなのに、狙われてホームページが解散されたこと。

③ホームページのブログをたくさんアップしていて、不利益を被る人が私1人であること。

このようなことから考えていくと、
ホームページ集客に力を入れている同業者が意地悪をしているのではないかと言う結論にいたりました。

このことは、インターネットに詳しいホームページ制作会社にも言われたことです。
世の中では以前から行われていることのようです。
ライバル店を潰すために、狙われたのではないかと言う結論です。

不利益になるのはすぎなか整骨院であって、他の方には不利益はほとんどない。患者さんがホームページを検索してもホームページを見られないことはありました。

利益になるのは同業者やライバルでしょう。
実際にホームページを見て来院される方がいなくなりました。

ホームページを作る会社があれば、
ホームページを壊す会社もある
ということです。

ハッカーに依頼してすれば良いだけなので簡単です。

お金を払えば、ライバルを簡単に痛めつけることが可能なのです。

いろいろ考えても、
安価で
誰にもわからず
競合店をつぶしていく手段としてはかなり的確なことのように感じます。

実際、自分のホームページを検索したところ、すぎなか整骨院で検索すると、
「すぎなか整骨院　逮捕」
と言う検索項目が出ることになってしまっていました。

当然、私は逮捕されるような事は何もしていませんのでご心配なく。

これも、すぎなか整骨院の評価を落とすために仕組まれた罠だと思います。

すぎなか整骨院のホームページが改ざんされてから、ひどく落ち込みました。
何が起きたのか全くわからないままでいたので、何をしたらいいのか全くわからないままでした。
レンタルサーバーに連絡して、ホームページが違うページに飛んでしまうことを伝えてもレンタルサーバーは全く関係ありませんと言われてしまいました。
検索エンジンがおかしいと言われたので、GoogleやYahoo!に連絡してみましたが、返事がないままです。

自分でいろいろ調べていくと、fastreet と言う通販サイトが詐欺サイトであったことがわかり、ホームページ制作会社に連絡してみたところ、ホームページが乗っ取られたということを知りました。

それから、ホームページに仕組まれたサイト改ざん情報を発見していただき、取り除いてもらうことにしました。
しかし、サイト改ざん情報を取り除いても、再度同じ状況になってしまいました。
どうやら、改ざん情報を取り除くと、取りきれていないプログラムからすぐさま同じ状況に改ざんされていくようになっていたようです。

インターネットの事はよく分かりませんが、ホームページ制作会社は言っていました。

いろいろ調べてみたところ、中小企業のホームページが狙われていて、ホームページが改ざん被害にあっていることが、近年増えているよです。

以下はネットから抜粋。

中小企業のホームページが狙われる３つの理由

サイバー攻撃の標的が大企業から中小企業に向かっていることをあらわすデータとして、情報セキュリティサービスの大手・シマンテック社が発表した調査結果です。
報告では、サイバー攻撃を受けた会社のうち大企業が占める割合が年々減少しているのに対し、従業員250人以下の小規模企業の割合が2011年から５年間で２倍以上に上昇していることが示されています。
明らかに今、中小企業のホームページ・セキュリティ対策の必要性が高まっています。

例えば、2016年に京都の健康食品販売会社が不正アクセスされたケースでは、被害に遭った企業の従業員わずか10名でした。

なぜ、このような小さな企業までが、ターゲットになってしまったのでしょうか？
中小企業が狙われるようになった理由は下記の３点です。
１）中小企業は、セキュリティ対策が不十分なまま放置されているケースが多いから

中小企業がサイバー攻撃の標的になっている理由のひとつは、大企業と比べてセキュリティ対策が十分に整備されていないことが多く、攻めやすいということがあげられます。
多くの中小企業では自社の対策が十分ではないことを認識しつつもセキュリティ対策にあてる費用と人員に余裕がなく、結果的に恰好の標的になってしまうのです。

２）大企業を狙うより、中小企業の方が効率よく成果を得られるから
近年、大企業や中央官庁のセキュリティ対策が向上したことも影響しています。
2016年にKPMGコンサルティング社が発表した調査結果によると、
売上高500億円以上の国内企業の４割が、セキュリティ対策に1,000万円以上の投資をしていることが明らかになりましたが、小さな企業では実行可能なセキュリティ対策も限られています。
大企業と中小企業のセキュリティ対策には大きなひらきがあり、効率よく中小企業を狙う考えが広がっているのです。

３）中小企業を突破口にすると大企業を攻撃しやすいから

自社にはハッキングされても困るような情報がないから大丈夫だと考えている企業もありますが、それは必ずしも攻撃をされない理由にはなりません。
堅いセキュリティの大企業を正面から攻撃するのを避け、セキュリティの甘い中小企業を大企業に侵入するための突破口として、大企業の顧客情報や営業機密を狙うケースもあるのです。
また、攻撃者の手法も年々多様化・巧妙化してきており、いつまでも古いセキュリティ意識ではいつ自社のホームページが被害に遭っても不思議ではありません。
自社のセキュリティの甘さから重要情報を漏洩させてしまうと、取引先や顧客からの信頼を失ってしまい、その回復は容易ではありません。場合によっては賠償を求められる場合も…。
このような被害に遭わないためには、早急にセキュリティ対策を見直す必要があるでしょう。

企業ホームページを狙ったサイバー攻撃の３大被害

企業のホームページがサイバー攻撃を受けると、実際にどのような被害を及ぼすのでしょうか。改めて、そのリスクを知り、ホームページ・セキュリティへの意識を高めていきましょう。
被害内容は、大きく以下の３つに分けられます。
１）ホームページの改ざん、消去
ホームページが改ざんされると、ユーザーに伝えたい情報を伝えられなくなり、見込み客へのアピールができなくなります。また改ざんされたホームページにアクセスしたユーザーが、他のWebサイトに誘導され不正プログラムをダウンロードしてしまうケースもあります。

２）ホームページをダウンさせられる
DoS攻撃などによってWebサーバーに過剰な負荷をかけられると、アクセスしにくい状態に陥ります。結果的にサーバーダウンを引き起こし、サービスが提供できなくなり経済的ダメージを受けてしまいます。

３）ホームページを介して情報を盗まれる
ホームページに不正アクセスし、サーバー上に保存していた個人情報などのデータが盗まれる被害も近年多く発生しています。
盗まれた情報は悪質な業者の手に渡る可能性があり、重要情報の漏えいが発覚すれば、企業の信頼回復は容易ではありません。また顧客への説明や補償が発生する場合もあります。

企業ホームページを狙ったサイバー攻撃の手口

水飲み場型攻撃
この攻撃は、対象となるユーザーが普段アクセスするホームページ（水飲み場）を改ざんし、ユーザーに気付かれないようにランサムウェア（PCをロックし元に戻すことと引き換えに身代金を要求する）などのマルウェアに感染させようとする攻撃です。
肉食動物が獲物を捕らえる際に、水飲み場の近くで獲物を待ち伏せしていることからこの名が付けられました。
自社のWebサイトが水飲み場になり、攻撃に使われないようにするためには、定期的にサイトの診断が必要です。ホームページを常時SSL化しておくことも効果的です。
＜被害例＞
2013年8月から9月にかけて、地方自治体のニュースなどを提供するWebサイト「47行政ジャーナル」が何者かに水飲み場型攻撃された。サイトは改ざんによって不正なコードが埋め込まれ、アクセスしたユーザーはマルウェアに感染する可能性に脅かされた。

DoS攻撃・DDoS攻撃・DRDoS攻撃

これらの攻撃は、コンピュータから大量のデータを送りつけて対象を過負荷状態に陥らせる手口です。国内向けのホームページであれば、サイバー攻撃の多い海外からのアクセスを遮断するのも有効な対策となります。
＜被害例＞
2015年11月21日、厚生労働省のホームページが国際ハッカー集団「アノニマス」と思われる人物からDDoS攻撃を受け、一時閲覧できなくなった。厚労省は攻撃からシステムを守るためサーバーを停止することとなったが、翌2016年にも同様の被害に遭った。

ブルートフォースアタック（総当たり攻撃）

この攻撃は、ツ－ルを使ってIDとパスワードのすべての組み合わせを試して認証の突破を試みる方法です。こうして不正ログインされた結果、金銭や情報を窃取されたりホームページを改ざんされたりします。複雑で長い強固なパスワードを設定することで、攻撃を防ぐ効果があります。
＜被害例＞
2018年に12月に発生したクレジットカードの不正利用事件では、カード情報を入力する際に繰り返し間違えてもロックがかかる機能がなかったため、ブルートフォースアタックではないかと指摘された。この事件を受けて、入力回数に制限を設けるなどの対策が行われた。

クリックジャッキング

この攻撃は、ホームページ上に、透明で見えない状態にしたリンクやボタンをかぶせて、意図しないクリックをさせるものです。結果として、不正なプログラムを実行させられたり、意図しないWebサイトへ飛ばされたりする、といった被害をこうむります。
このような被害を防ぐ対策としては、ブラウザでJavaScriptやFlashなどを無効にすること、OSなどの最新のセキュリティアップデートを適用することがあります。
＜被害例＞
2009年、Twitter上に「クリックしてはいけない」というメッセージ付きのリンクが、Twitterアカウントに掲載される被害が相次いだ。リンクにはクリックジャッキングの仕掛けが施されており、リンクをクリックすると、自分のTwitterアカウントにも同じリンクが掲載され被害が広がった。

ホームページを復活させよう！

ホームページを復活させようと思った理由です。

①ブログを書くことによって、自分の頭の中が整理できる。

②文章能力が上がる。

③自分の仕事内容を文字化することによって、客観的にわかる。

④それによって、患者さんへの説明能力が上がり、患者さんの理解力が上がる。

⑤あいまいな事柄が分かっていない事が分かり、再度勉強するようになる。

これは、自分だけに当てはめた事になりますが、
患者さんに対してもいろいろあります。

①意外と患者さんがブログをチェックしている。

②患者さんと自分が書いたブログを通して、コミュニケーションができる。

③休診日が増えたことにより、患者さんがホームページを見て、間違えて来院される事が減りました。

④ブログは出来るだけ専門用語を使っていないので、高齢者にとってもわかるようです。

⑤新規患者さんが読んでくれて、安心して来院できるようになる。

いろいろ良いことがたくさんあるように感じます。

ここでしっかりと今回のことがないように、対策を立てホームページを運営していこうと言う考えに至りました。

ホームページと言うのは、
インターネット上に存在する架空の自宅みたいなものです。

レンタルサーバーと言う土地を借りて、そこにすぎなか整骨院のホームページと言う建物を建てた状況にあります。

レンタルサーバー代は月に○○円という借地料がかかり、建物代としてホームページ制作代金が掛かります。

すぎなか整骨院のドメイン
http://chiryouka-suginaka.net/
が住所みたいなものです。

今回の対策として、
レンタルサーバーを違うところに移し、再度そこにすぎなか整骨院のホームページを置きます。

それによって、すぎなか整骨院のドメインも変更することになります。

そして、ここで大切なのが
セキュリティー対策をどうしていくかと言うことです。

自宅でのセキュリティーと言えば、
鍵をかけ、戸締りをしっかりする。
警備会社に監視してもらう。
監視カメラを設置する。
と言うことではないでしょうか。

よりセキュリティーを強化していくには、お金がかなりかかるようです。

そこで自分の自宅はどれほどの価値があって、セキュリティーにもお金をかけていくと言う感じになっていくと思います。

ホームページのセキュリティーを強化していくには、
①安全なレンタルサーバーを設置する。
②もともとセキュリティーのしっかりしたレンタルサーバーを選ぶ。
③ログインパスワード等を強化し、侵入されにくいようにする。

④ホームページがまし改ざんされた時のためにバックアップを事前に取っておく。
⑤HTTPS化というものまであるようです。

HTTPS化にはかなりの費用がかかると見込まれます。 HTTPS化はやるのには躊躇してしまう金額です。

いろいろ対策を練っていかないといけないのが現状であります。
今回、すぎなか整骨院のホームページが改ざん被害にあったことにより、インターネットの勉強ができました。
少しも何となくわかったような気がします。
これからの時代を生きていくためには、インターネットを用いて、ホームページによる情報発信が必要だと思われますので、今後続けていくようにしていきます。

以下はネットからの引用です。
参考までに。

HTTP（Hyper Text Transfer Protocol）と、HTTPS（Hypertext Transfer Protocol Secure）の違いは、
ホームページを見るときにどんな通信手段を用いるのかというルールです。URLの始まりが「https://」だと通信内容が暗号化されます。「http://」から始まっていると暗号しないで通信している、ということが分かります。
郵便物にたとえると、HTTPは「はがき」で、HTTPSが「封書」のようなものです。HTTPでやり取りする情報ははがきのように配達系路上の第三者がのぞき見したり、勝手に何かを書き加えたりすることができます。一方、HTTPSの場合は暗号化されて封書のように中身が受け手以外には分からないようになり、安全です。

HTTP接続だと安全性が不十分です。
なぜなら、老若男女誰もがインターネットを生活に欠かせないものとして利用し始めるようになり、ネット詐欺や暗号化されていない通信経路の盗聴や改ざん手法が一般化してきているからです。
初心者向けのハッキング手順書やツールが簡単に手に入るようになり、特別な技術がなくてもフィッシング詐欺や、MITM（Man in the Middle）攻撃などによるサイバー犯罪を行うことができるようになってきました。
特に無線LANの普及によって、攻撃者が無線LAN経由でMITM攻撃を仕掛けることが容易になってきています。個人情報の入力がある、ないにかかわらず、改ざんを用いた詐欺から身を守るため暗号化されたHTTPS通信を利用することが推奨されます。
実際に、警視庁によるとサイバー犯罪では詐欺の被害相談が最も多くなっています。サイバー犯罪等に関する相談件数の推移を見ると、詐欺・悪徳商法（インターネットオークションを除く）被害相談件数は増加基調にあり、2015年には67,026件もの相談が寄せられていることがわかります。注文した商品が届かないといった、オークション過程での詐欺も含めるともっと多くなります。

HTTPSだけで詐欺・悪徳商法の犯罪が100%防げるわけではないですが、HTTPSのほうが、通信が見知らぬ誰かに盗聴されない、詐欺を働きにくくする、マルウェア混入を防ぐ、サイト運営者の正当性が判別できる、などの技術的優位性があります。
ではHTTPSで通信していれば100%安全なのでしょうか？

HTTPS通信の方がHTTP通信より安全ではありますが、100%安全ではありません。
通信がHTTPSであったとしても、通信相手が正しくないとデータを守ることができないからです。

確かにHTTPSになっている場合は暗号化通信ができるので、第三者による盗聴のリスクは下がります。しかし、通信相手が偽者だと意味をなしません。相手が本物であることが重要です。
例えば、郵便物や電話の場合は郵便会社や電話会社がインフラを整え、きちんと本物の相手につなげてくれます。ところがインターネットではインフラはみんなで作る仕組みになっているので、郵便や電話と違い、本物の相手につなげることを保証してくれる事業者がいません。知らぬ間に通信系路上に悪い人が紛れ込むことが比較的容易です。そのため、HTTPS通信では暗号化と共に通信相手を確認するための手段である「証明書（SSLサーバ証明書）」が利用できるようになっています。
ところが近頃はこの証明書までもが犯罪に悪用されています。証明書を使って本物と見まがうような偽のウェブサイトを用意し、そこに被害者をおびき寄せて個人情報を盗む、悪質なマルウェアに感染させる、などの手口です。ですからHTTPSであっても安心できる証明書なのか、まで見分ける必要があります。
実はドメイン名の所有者であれば個人であっても誰もが無償で証明書を持てます。無料で入手できることもある、ドメイン認証（DV）というタイプの証明書はドメイン名の正当な所有者であることが認証されたうえで発行されますが、本物の企業、団体であるかは確認されません。つまり、ドメイン名の所有者が犯罪者であっても正当な証明書を持てることになります。

ホームページが乗っ取り被害にあって、1ヵ月が過ぎました。
ホームページ制作会社に解決してもらおうとお願いしていました。

ホームページに毎日のように文章を書いて、自分の頭の中を文字化して、自分の頭の中を整理していくと決めてやっていました。
文章書く能力が格段に上がり、何をどう伝えればいいのか書いているうちになんとなくわかってきました。

もともと、語学能力が達者ではないので、昨年から新しい取り組みとしてやってきました。
普段自分が何を考えて、どうしたいのか、患者さんの手当てに対してちゃんとやっているのか、患者さんへの説明はちゃんとできているのかと言うことが、文章書くことによって少しずつわかってきました。

自分のやってる事はちゃんとできているものだと思っていましたが、あまりできていなかったと言うことが再認識できました。

このような新しい取り組みを1年弱やってきましたが、すぎなか整骨院のホームページが狙われて、ホームページが改ざん被害に会うと言う状況になってしまいました。

このような経験をするとは思っていませんでしたが、こういう被害が自分に巡り会って来なければ、全く経験せず、考えることもせず、対策を練る事はしなかったと思います。

ホームページに対して知識が不足していたため、わからないことだらけでした。
ホームページのセキュリティーも弱いままであり、パスワードも弱いままでした。

今回こういう経験をし、いろいろ考えたことをまとめてみました。
同じようなことを経験するようなことが増えてくるような感じがします。同じような経験をされた場合どうすればいいか、どういう対処をすればいいのかと言うのをまとめてみたいと思います。

すぎなか整骨院のホームページ被害では、ホームページを検索すると、fastreet と言う詐欺サイトが表示されてしまいました。

ここでしっかりと調べてみたところ、
① iPhoneのSafariで検索すると、詐欺サイトに飛んでしまうこと。
Yahoo!で検索すると同じような結果になります。
Google Chromeで検索すると、すぎなか整骨院のホームページにたどり着きますが、！マークがついた警告信号が表示されてしまう状況でした。

②ウイルスバスターが入ったパソコンで検索すると、
ウイルスバスターがインターネットを監視しているため、「このホームページは危険です!」と言う表示がされ、閲覧できません。
Google検索やYahoo!検索、Google Chrome検索でも同じような結果が出ました。

③患者さんに聞いてみましたが、同じiPhoneでもちゃんと検索できる人もいれば、同じように検索できない人もいました。
何度もすぎなか整骨院のホームページを見ている方が検索できないような感じがしました。

④ホームページ制作会社に問い合わせたところ、問題なく表示されているようでした。

⑤ホームページの閲覧数が、10月に入ってから激減している事がわかりました。
すぎなか整骨院のホームページが詐欺サイトに改ざんされているため、評価が下がったためだと思います。

⑥ホームページ制作会社に調査を依頼したところ、ホームページが改ざんされている箇所を見つけていただきました。
ホームページを修正してもらいましたが、ホームページがうまく表示されなくなってしまいました。
ホームページを修正すると、さらに悪くなるような情報が入っているのかと思います。

⑦ホームページをいちど直した後、再度依頼したところ、すぐに改ざんされている状況にあると言うことがわかりました。
どうやら、すぎなか整骨院のホームページは狙われている状況にあるようです。

⑧最近、様々な職種でも、同業者などがライバル店を落とすためにハッカーを雇っていると言うことも耳にしました。
いろいろな業界でそのようなことが繰り返されているようです。
ホームページのセキュリティーをアップしていかなければならない状況にあるようです。

いろいろな状況がわかってきましたが、ホームページを修正するのに、かなり費用がかさみます。
ホームページのバグを取り除くだけであればかなり価格を抑えることができます。
しかし、今回の被害では、
ホームページを違うサーバーに移し、ホームページの情報を新たに打ち込み直すことが必要になってきたようです。
それにはかなりの費用がかかる事がわかりました。

ここで、いろいろ考えて、どうしたらいいかとても悩んでいました。
以下の文章は、ホームページ制作会社に送ろうと思ったメールの内容です。
自分としては、結構ネガティブ内容であったため、送らずにまた考えていました。
こんな考え方ではおかしいと気づき、メールを送信しないようにしました。

○○万円はかなり高額です。

今のところ迷っています。

ホームページを御社様から○○万円かけて作っていただいて、
1年も満たない状態でこのような事態になってしまいました。

ホームページだけでで集客出来たのは恐らく○○人ぐらいな状態です。
言われた通り、1年間、ブログを書き続けて、ホームページの閲覧数はかなり上がりました。
しかし、集客にはどれほど効果があったかは疑問に思います。

うちの整骨院を知っている方が、ホームページを見てくれて良いと思ってくれた方は多いように思いますが、、。

ホームページの効果はまだ実感できていないのです。

そこでまた、○○万円もの料金が発生することに対して、どうしようかと考えてしまいます。

○○万円を全然回収できていないのも事実であります。

自分は広告費を掛けないでやっていくと決めて、日々ブログを書くようにしています。
ブログを書けば良いのなら、自分の能力をあげるためにもなります。

そして、ホームページの改善するために、バグの修正にも○万円がかかりました。
○万円かけても、いったいどんなことをしていただいたのかよく分からないままです。

詳しい説明もなく、時が過ぎています。

出来ませんでした。
一筋縄ではいかない状況です。
と言われても、全然納得できません。

どう言った作業をして、ダメだったのか。

プロなのだからできるだろうと思っています。
どんどん費用だけかさむようですね。
お金を払えばどうにかしてくれることは、仕事としたら理解できます。
しかし、支払う金額が高ければ考えてしまいます。
でも、プロの仕事としたらできるはずです。

自分にはホームページのことは全然分かりません。

こちらとしたら、いかにコストを抑えてやっていきたいのです。

サイト改ざん被害の実情を知らないまま、このような事態になってしまいました。

このようなことが起こるとは想像もしていませんでした。

なぜ事前に対策とかを教えていただけなかったのでしょうか？

被害があること、
対策があること、
乗っ取りに遭わないようにするためのこと、
など全く知識がありませんでした。

サーバーの管理は自分でやっていることが問題だと思いますが、

バックアップをとっておいた方が良いとか事前に知っておけば対策が取れたこと

これを先にわかっていればと悔やまれます。