- 研究者らが、古いバージョンのWordPressがインストールされたコンピュータや感染ドメイン上で稼働していた大規模なサイバー犯罪ネットワークを発見
- 「StopAndProtect」調査により、コンテンツ管理システムWordPressがこの犯罪ネットワーク成功の鍵であったことが判明。コア部分のソフトウェアとサードパーティ製プラグインの両方が悪用されていた
- 約2,000件のWordPressサイトがこのサイバー犯罪ネットワークに乗っ取られていた
Check Point Researchは、WordPressウェブサイトのネットワークに依存していた世界規模のサイバー犯罪ネットワークを発見しました。「StopAndProtect」と名付けられた作戦の調査により、世界中に広がる5,000台の感染コンピュータと2,000件のWordPressドメインからなるネットワークの存在が明らかになりました。
WordPressは現在、世界のウェブサイトの約43%にコンテンツ管理機能を提供しており、最も存在感の大きいCMSとなっています。また最も人気のあるウェブサイトビルダーでもあり、シングルページのサイトから基本的なブログ、大規模なニュースサイト、さらにはオンラインストアまで幅広く利用されています。
研究者らは発見しました。この犯罪ネットワークがいくつかのミスを犯していたことで、研究者らはその活動に気づくことができました。具体的には、被害者のスクリーンショットやログ、内部で使用していたツール、乗っ取られたドメインに言及するファイルなどが含まれていました。この点は安心材料ではあるものの、StopAndProtectの調査結果はWordPressサイトのセキュリティに対して疑問を投げかけるものとなっています。
StopAndProtectはどのように犯行を行ったか
WordPressは、マルウェアをホストしボットネットを運用する手軽な手段を探すハッカーにとって、長年にわたり標的とされてきました。その歴史の中では、いくつもの重大なインシデントが発生しています。それでもこのCMSは無料かつオープンソースであり続けており、インストールスクリプトやウェブビルダー用プラグインのおかげで、セットアップも簡単です。
StopAndProtectという名称は、もともと2026年前半にCheck Point Researchが発見したランサムウェアに付けられたものでした。しかし、このランサムウェアの配布だけにとどまらない活動が確認されたため、研究者らは作戦全体を指す名称としてこの名前を採用することにしました。
Check Point ResearchのEli Smadja氏は次のように述べています。「StopAndProtectは、攻撃者が管理の行き届いていない数千件のWordPressサイトを、マルウェア配布、監視、データ窃取、ランサムウェアのための分散型犯罪インフラへと変えてしまう可能性があることを示しています」
WordPressのドメインはどれも乗っ取られる可能性があるのか
今回の調査で明らかになった犯罪ネットワークの被害を受けたサイト数の多さと、CMSおよびウェブビルダー市場におけるWordPressの存在感の大きさを踏まえると、「WordPressは依然として安全なのか」という疑問が浮かびます。
Smadja氏はさらにこう付け加えています。「今回の調査結果を踏まえ、私たちは各組織に対し、コマンドのコピー・貼り付け・実行を指示するような予期しないCAPTCHAには注意を払い、デバイスとセキュリティソフトウェアを常に最新の状態に保ち、ブラウザの外で通常とは異なる手順の実行を求めてくるウェブサイトからは直ちに離れるよう強く呼びかけます」
多くの中小企業は、対外的なウェブサイトの運用にWordPressを利用しており、場合によっては社内用途にも使用しています。StopAndProtectの調査では特に、5年前のバージョンのCMSを稼働させ、約40件の脆弱性によって侵害されていたWordPress運用サイトの事例が取り上げられました。
WordPressに関して懸念がある場合、最も手っ取り早い対策は、ウェブサイトが最新バージョンで稼働していることを確認し、さらにプラグインが意図した通りに動作しているだけでなく、完全に更新済みであることを確認することです。
WordPressの定期的な更新サイクルを維持することで、サイトの乗っ取りを防ぐことができます。この対策は、侵入や不審な挙動を監視してくれるウェブホストと組み合わせて利用するのが最も効果的です。
