ハッカーはハッキングされたウェブサイトで何をするのか?攻撃後の手口を徹底解説

2017年は、サイバー犯罪の歴史においても特筆すべき年となりました。CMS(コンテンツ管理システム)やECポータル、金融機関のウェブサイト改ざんに至るまで、サイバー犯罪は年々増加の一途をたどっています。2017年には、約1億4,300万人分の個人情報が流出した「Equifax情報漏洩事件」、同年最悪とされたランサムウェア攻撃「WannaCry」、その影響を広げた「Petya」攻撃、そして数十億アカウント規模の被害が出た「Yahoo!情報漏洩事件」など、衝撃的なサイバー攻撃が相次ぎました。

ウェブサイトはどのようにハッキングされるのか?

Googleによると、ハッキングされたウェブサイトの数は32%増加しています。ウェブサイトが不正アクセスを受ける主な原因は以下の通りです。

1. セキュリティ更新の漏れ:セキュリティパッチやアップデートを適用しないままにしていると、ソフトウェアは攻撃者に対して無防備な状態になります。Webサーバーソフトウェア、CMS、プラグインなどの重要なソフトウェアについては、自動更新が有効になっていることを必ず確認しましょう。
2. 脆弱なパスワード:流出したアカウント認証情報は、ウェブサイトがハッキングされる最も一般的な原因のひとつです。多くのユーザーは強力なパスワードのルールを守らず、複数のアカウントで同じパスワードを使い回すため、アカウントが乗っ取られやすくなります。攻撃者は総当たり攻撃やパスワードの組み合わせ変更によって、パスワードを推測できます。
3. データ漏洩:データは不適切な取り扱いや誤ったアップロードによって、漏洩情報として公開されてしまうことがあります。「Dorking(ダーキング)」と呼ばれる手法では、一般的な検索エンジンを利用して漏洩したデータを探し出すことが可能です。
4. 安全性の低いテーマやプラグイン:攻撃者は、有料プラグインやテーマの無料版に悪意のあるコードを仕込むことが少なくありません。そのため、パッチが適用されたプラグインやテーマを使用することはもちろん、開発元がメンテナンスを終了したテーマやプラグインは削除することが不可欠です。また、信頼できないサイトから配布されている無料プラグインの利用には十分注意してください。

ハッカーはハッキングされたウェブサイトで何をするのか

では、情報が一度漏洩してしまうと、ハッカーはそのデータで何ができるのでしょうか?さまざまな憶測がありますが、攻撃者の視点に立って侵入後の行動を理解することは、将来のサイバー攻撃による被害を最小限に抑えるために役立ちます。

ハッカーの侵入後のチェックリストには、おそらく以下のような行動が含まれています。

1. 盗んだデータの在庫リストを作成する

侵入に成功した後、ハッカーはクレジットカード情報や認証情報といった金融関連データ、氏名・住所・電話番号などの個人情報の在庫リストを作成します。

2. 情報を売却する

氏名、認証情報、住所、電話番号などの個人情報は、ハッカーによってまとめて売り捌かれます。Quartzの推定によると、識別番号、住所、生年月日、場合によってはクレジットカード情報を含む一人分の完全な個人情報セットは、闇市場で1ドルから450ドルで取引されています。

3. 価値の高い情報をふるい分ける

漏洩した認証アカウントのリストを作成した後、ハッカーは他よりも高値で売れる最有利なアカウントを探します。政府機関や軍関係のメールアドレスは極めて価値が高く、大企業のメールアドレスやパスワードも同様に高額で取引されます。こうした認証情報は、ダークウェブでさらに高い価格で転売されます。

さらに、あるサイトへのハッキングが、別のサイトでの情報漏洩につながることもあります。実際、2012年にDropboxが侵害された際には、同じ年に発生したLinkedIn情報漏洩事件で盗まれた認証情報が悪用されました。ユーザーが複数のアカウントで同じパスワードを使い回す傾向があることは、ハッカーが頻繁に狙う弱点です。

4. カード情報を売り捌く

ハッカーは通常、クレジットカード番号などの金融情報を10件または100件単位の束にして、専門知識を持つ個人にまとめて売却します。この情報はまず「ブローカー」に売られ、その後検知されないように「カードャー(carder)」へと転売されます。カードャーは盗んだクレジットカード情報を使って店舗やAmazon.comのギフトカードを購入し、そのギフトカードで実物の商品を買い占めます。

次にギフトカードは、家電製品などの高額商品の購入に使われます。これにより企業側は追跡が非常に困難になります。企業が不正に気づいてカードが利用停止になる頃には、犯人はすでに購入した商品を手に入れています。これらの商品は、通常「再発送詐欺(re-shipping scam)」と呼ばれる手法で送り出されます。Craigslistの求人広告など正当な募集チャネルを通じて、疑いを持たない一般人が「マル(mule:運び屋)」として勧誘され、商品は国外へ送付されるか、詐欺師がオークションサイトに出品した商品の購入者へ直接送られます。

5. 大量販売(バルクセール)

ハッカーは収集した認証情報を、割引価格で一括販売します。侵害を受けた企業は被害修復のため認証情報の変更などの対策を講じるため、時間が経つほど盗んだ認証情報の多くは無価値になります。だからこそ、ハッカーは早期の割引一括販売で利益を得ようとするのです。

WordPressのセキュリティ強化については、「2018年に実践したい簡単なWordPressセキュリティ対策」の動画もぜひご覧ください。

また、開発者向けの「セキュアコーディング実践チェックリスト」をダウンロードすれば、ハッキングされるリスクを大幅に減らすことができます。

オンライン上の脆弱性が蔓延する昨今、自社サイトの安全性が心配ではありませんか?Astraのウェブセキュリティスイートまでお気軽にご相談ください。さらなる保護策について詳しくご案内いたします。