Webサイト改ざんが増加した2015年Q3、CMS利用サイトは注意 - JPCERT/CC

JPCERTコーディネーションセンター(JPCERT/CC)は1月14日、2015年度第3四半期(10月～12月)のインシデント報告の統計・事例をまとめた「インシデント報告対応レポート」を公開した。

これによると、前四半期と比較して報告件数は17%減少し、調整件数も0.3%減少した。前年同期比でも、総報告数が45%減少、調整件数は12%減少となっている。

この四半期に発生したインシデントの種別では、スキャン(システムの弱点探索)が48.2%を占め、Webサイト改ざんが26.1%、フィッシングサイトのインシデントが15.0%だった。

それぞれのインシデントの具体的な傾向を見ていこう。

スキャンは減少

スキャンの件数は1526件で、前四半期の1985件から23%減少。スキャン対象となったポートで、特に頻繁にスキャンされたものは、HTTP(80/TCP)とSMTP(25/TCP)、SSH(22/TCP)だった。

Webサイト改ざんが増加、CMSが狙われる

続くWebサイト改ざんは、報告件数が826件で、前四半期の592件から40%増加だった。この四半期は、「改ざんサイトへアクセスした際に、セキュリティ製品がランサムウェアのダウンロードを検知した」という報告が複数寄せられたという。

改ざんの具体的な手法としては、bodyタグの直後やページの最上部に、難読化されたコードが埋め込まれるケースが多かったようだ。CMSを活用しているWebサイトの改ざんが特に多く見られており、「WordPress」「Joomla」「Drupal」などのCMSを活用しているサイト運営者は注意が必要となる。

実際にJPCERT/CCが、改ざんされたWebサイトの管理者からサイトコンテンツをもらい受けて調査したところ、CMSのデフォルトのファイルに「//istart」「//iend」などの文字列を含む不正なコードが埋め込まれていた。このことから、CMS本体やテーマ、プラグインの脆弱性を悪用する攻撃や管理者のパスワードを盗みとって攻撃者が改ざんした可能性を指摘している。

改ざんされたサイトでは、不正なコードによって攻撃サイトへ誘導し、Adobe Flash PlayerやInternet Explorerなどの脆弱性を悪用した攻撃によってマルウェアのダウンロード・実行が行われている。サイト運営者だけでなく、サイト訪問者にも広範囲に影響が及ぶため、注意が必要だ。

フィッシングサイトは前期比で減少も、前年同期比では増加

フィッシングサイトの報告数は474件で、前四半期の522件から9%減だった。また、前年同期は406件だったため、17%の増加となっている。この四半期は国内のブランドを装ったフィッシングサイトが124件で、前四半期比10%の増加、国外ブランドは250件で7%の減少だった。また、偽装された業界では、金融機関のWebサイトが49.1%、Eコマースサイトが16.4%となっている。

マルウェアサイトは大幅減

なお、この四半期で報告されたマルウェアサイトは84件で、前四半期の119件から29%減少となっている。