Magentoストアをハッカーの標的にする5つの危険な拡張機能と対策

小売業者やブランドのECビジネスを支援するプラットフォームとして、Magentoは世界で最も広く利用されているEコマースプラットフォームの一つです。しかし、その強力な機能には、安全なオンラインストアを運営するためのセキュリティ対策という大きな責任が伴います。実際、Magentoはクレジットカード詐欺やユーザー認証情報の窃取の標的になりやすいプラットフォームであり、なんと全体の62%のストアに少なくとも1つのセキュリティ脆弱性が存在するという調査結果もあります。

Magentoストアのオーナーにとって、セキュリティは最優先事項であるべきですが、現実にはそうなっていないのが実情です。多くのストアオーナーが最新バージョンへのアップデートやセキュリティパッチの適用を怠っており、その結果、Magentoのセキュリティ問題はたびたびニュースで取り上げられ、新たな攻撃手法によるハッキング被害が後を絶ちません。

以下に、過去にオンラインストアをサイバー犯罪のリスクにさらしていた脆弱なMagento拡張機能を5つ紹介します。

1. PDF Invoice Plus 拡張機能

PDF請求書拡張機能は、数百のMagentoストアで顧客への請求書生成に使用されている人気の拡張機能です。請求書には通常、エンドユーザーの住所や、場合によっては個人情報が含まれています。この脆弱性のある拡張機能では、Googleダークス（特殊な検索演算子）を使って任意のユーザーの請求書にアクセスできる可能性があり、ユーザーのプライバシー侵害やデータ漏洩の脅威となりました。この問題は、AstraのセキュリティチームがあるMagento顧客ストアのセキュリティ監査を実施中に発見したものです。

Googleダークス「inurl:pdfinvoiceplus/」で検索を実行すると、PDF Invoice Plusを使用しているすべてのウェブサイトが一覧として表示されてしまいました。

この拡張機能の脆弱性は、Astraチームによる迅速な報告のおかげで、PDF Invoice Plus開発チームによって直ちに修正されました。詳細については、脆弱性の詳細レポートをご確認ください。

2. Affiliate Plus Magento 拡張機能

MagentoのAffiliate Plus拡張機能においてクロスサイトスクリプティング（XSS）脆弱性が発見され、7,000以上のストアがエンドユーザーデータやアカウント情報の漏洩、認証情報の喪失、内部ディレクトリ構造の露出といったリスクにさらされました。XSSは最も発生頻度の高い脆弱性の一つであり、特に管理者データの損失など、深刻な結果をもたらす可能性があります。

クライアントのMagentoストアに短いJavaScriptコードを追加したところ、SQLエラーやデータベース構造を暴露するSQLクエリも表示された

Astraチームによって発見されたこの脆弱性は、Affiliate Plus開発チームに報告された後、速やかに修正されました。詳細なレポートはこちらをご覧ください。

3. 偽のSUPEE-5344パッチ

SUPEE-5344は、悪名高いMagento「ショップリフト（Shoplift）」バグに対する公式セキュリティパッチです。このバグにより、サイバー犯罪者は脆弱な小売サイトへの管理者アクセス権を不正に取得できてしまいました。ショップリフトバグを悪用すると、ハッカーは注文フォームから支払い情報を直接抜き取ったり、決済処理時に支払い情報を外部へ送信する複数のPHPファイルを改ざんしたりすることで、クレジットカード情報を盗むことが可能でした。

この脆弱性を防ぐパッチが公式にリリースされましたが、残念ながら多くのサイトはすぐにアップデートを行いませんでした。この修正の重要性を見抜いたハッカーたちは、マルウェアを仕込んだ正規品に見える偽パッチを作成する好機と捉えました。この偽パッチを導入したサイトでは、重要なユーザー決済情報のデータベースが盗まれる被害が発生しました。

偽のSUPEE-5344パッチは約160行のコードで構成される高度なものでした（画像提供：Sucuri）

4. Magento拡張機能におけるSQLインジェクション脆弱性

EM（Extreme Magento）Ajaxcart、EM Quickshop、MD Quickview、SmartWave QuickViewなど、さまざまなMagentoサードパーティ製テーマや拡張機能にSQLインジェクション脆弱性が発見されました。これらは最も広く使用されている拡張機能の一つで、SmartWaveのPorto、Trego、Kallyasなど、複数の人気テーマにも組み込まれています。

SQLインジェクション攻撃とは、攻撃者がユーザー入力を通じて悪意のあるSQL文を挿入する攻撃手法です。これにより、攻撃者はバックエンドの技術情報を明らかにする詳細なエラーメッセージを受け取ったり、悪意のあるSQL文の操作によって制限された領域へのアクセス権を不正に取得したりする可能性があります。

このような攻撃の被害を避けるためには、Magentoユーザーは認証情報を見直し、拡張機能を購入した各ベンダーからセキュリティアップデートを入手することが不可欠です。また、Magentoセキュリティのベストプラクティス一覧を定期的に確認することで、将来的な脆弱性からの保護につながります。

5. Amasty RMA プラグインの脆弱性

Amasty RMA拡張機能の脆弱性により、ハッカーはMagentoサーバー上に悪意のあるファイルをアップロードすることが可能になります。さらに、RMA機能を通じて、サーバー上の任意のディレクトリや重要なファイルをダウンロードされてしまう恐れもあります。その結果、深刻なサーバー侵害から、特定のユーザーや管理者を標的とした攻撃まで、さまざまな被害が生じかねません。

Magentoユーザーとのセキュリティ監査中、AstraチームはPHPシェルのアップロードを試みることでこの脆弱性を突き止めました

この脆弱性からウェブサイトを保護するための即効性のある対策は、拡張機能をバージョン1.3.11以降へアップデートすることです。

Magentoストアのセキュリティ強化にお困りですか？ぜひAstraまでお気軽にお問い合わせください。