WordPress多言語プラグイン「WPML」がハッキング被害——顧客データ漏洩の全貌と対策

サイバーセキュリティの脆弱性をめぐるニュースが再び話題となり、デジタル化が進む現代社会におけるデータの安全性への懸念が一段と高まっています。

今日、ウェブサイトは世界中で何千もの言語で閲覧されています。WordPressは人気のCMS(コンテンツ管理システム)であり、多言語対応を実現するプラグインも数多く存在します。そのひとつであるWPML(WordPress Multilingual)は、60万以上のウェブサイトで利用され、コンテンツをさまざまな言語で表示するために活用されてきました。

しかしこの週末、WordPressユーザーに多言語機能を提供する人気プラグインWPMLがハッキングされ、サイバーセキュリティ業界に大きな波紋を広げたのです。

攻撃の手口

ハッカーは古いパスワードと隠されたバックドアを通じてサイトに侵入し、「WPMLプラグインには脆弱性が満載であり、クライアントは自サイトに侵害がないか確認すべきだ」というメッセージを掲載してサイトを汚損(デフェース)しました。さらに、同じ内容をスパムメールとしてWPMLのクライアントに送信し、自分はセキュリティ研究者であり、プラグインの複数の脆弱性をWPMLチームに報告したものの、開発者に無視されたと主張しました。

噂によれば、会社を去った元従業員が事件の背景に関与しているとされています。使用された隠しバックドアは、攻撃者が在職中に仕込んだものだと考えられています。一見すると、プラグインへの嫌がらせを目的とした攻撃のように見えました。ハッカーは顧客にメールを送り、多額の料金を請求しておきながら適切なセキュリティ対策が不十分だと批判し、契約解除と返金要求を促しました。メールの末尾には解除用のリンクまで添付されていたのです。

WPMLチームの対応

WPML開発チームは以下の見解を示しました。

• クライアントサイト上で稼働するWPMLプラグイン自体には、悪用される脆弱性は含まれていない
• 支払い情報は保存していないため、漏洩の心配はない
• 侵入者はユーザー名とメールアドレスを入手しており、WPML.orgのユーザーアカウントにもアクセスできた可能性がある
• 侵入者はクライアントサイトのキーを盗んだが、これはwpml.orgからのアップデート取得にのみ使われるものであり、サイトに変更を加えることはできない

WPMLチームによる予防策

WPMLチームは、バックドアを完全に除去し、クライアントのアカウントを保護するため、データサーバーをゼロから再構築していると発表しました。

この衝撃的なセキュリティ侵害を受け、私たちは「オンライン上のデータはどれほど安全なのか」を改めて考えさせられました。攻撃による被害を分析した結果、多数のWPMLプラグインユーザーの膨大なデータが無防備な状態となり、ハッカーの意のままにさらされていたことが、後にWPMLチームによって確認されました。同チームは、顧客名とメールアドレスを含むデータベースがハッカーに侵害されたことを認めています。ただし、ハッカーが実際にログインしてユーザーのサイトへアクセスした可能性については、明言を避けています。

また、同チームはメールに添付されたリンクにはマルウェアが含まれる恐れがあるため開かないよう注意喚起し、当面の間、公式ウェブアドレス経由でのみログインするようユーザーに要請しています。

WPMLチームは謝罪するとともに、強化されたセキュリティ体制のもとでサイトをゼロから再構築中であることをユーザーに通知しました。運営者は法的措置を検討していることも明らかにしています。脆弱性の発見と修正を繰り返し確認しているものの、最後に残る問いはこうです。「私たちのオンラインデータは、本当に安全なのだろうか?」