OpenCartに対するMageCart攻撃の仕組みと効果的な防止策を徹底解説

Magecartは、ここ数年間、Webスキミング活動で悪名高い攻撃者グループの総称です。彼らはMagento、OpenCart、PrestaShop、Shopifyなどの主要なECサイト向けCMSの脆弱性を狙い、悪意のあるJavaScriptを注入することを常套手段としています。

これらのJavaScriptは、ECサイトを訪れる顧客のクレジットカード情報など、商業的に価値の高い機密データを盗み出すために使われます。本記事では、MagecartによるOpenCartへの攻撃がどのように実行されるのか、その詳細な手順と対策について解説します。

MagecartによるOpenCart攻撃の実態

ご存じのとおり、OpenCartはECサイト向けCMSの中でもトップ3に入る人気プラットフォームです。人気ランキングではMagentoとShopifyに次ぐ第3位に位置しており、その知名度の高さゆえに、Magecart運営側にとって格好の標的となっています。

Magecartの実態を暴いた衝撃的なレポートに続き、セキュリティ企業RiskIQのリサーチャーは、Magecartグループ12がOpenCartストアで行っている活動の詳細を明らかにしました。このグループは、目立たずニュースの見出しにもならないよう、あえて小規模なストアを標的にしている点が特徴です。

同レポートによると、Magecartグループ12はフランスの有名な広告配信業者Adverlineへの侵入も確認されています。その結果、Adverline経由の広告を掲載していたすべてのWebサイトが、気づかないうちに悪意あるスクリプトを読み込む状態になっていました。さらに、このグループはMagento、OpenCart、OSCommerceを利用した数千もの小規模サイトからセキュリティを突破し、データを窃取しています。

より最近の攻撃では、訪問者がチェックアウトページへ移動しようとしていることを検知してからスキマーを注入する、事前フィルタリング型のJavaScriptコードがOpenCartサイトへの攻撃に用いられています。

MagecartのOpenCart攻撃はどのように実行されるのか?

これまでに報告されている限り、OpenCartに対するMagecart攻撃の侵入手法は主に3つ存在します。以下にそれぞれを紹介します。

1. 脆弱性の悪用

1つ目の手法は、既知の脆弱性を悪用するものです。こうした脆弱性の情報やエクスプロイトコードは、オンライン上で無料で入手できる場合もあれば、金銭取引で販売されている場合もあります。

2. 管理画面(管理パネル)の乗っ取り

2つ目は、ブルートフォース攻撃(総当たり攻撃)やフィッシングによって管理画面のログイン認証情報を奪取する方法です。認証情報さえ手に入れば、攻撃者は正規の管理者として自由にサイト内へ侵入できます。

3. サードパーティベンダーの侵害

3つ目は、プラグインやテーマの開発者といったサードパーティベンダーを侵害する手法です。攻撃者はこれら外部ソースを経由してECストア内部に侵入し、Webスキマーを仕込みます。

OpenCartへのMagecart攻撃を防ぐための対策

Web上で完全なハッキング耐性を保証することはできませんが、適切なセキュリティ対策を実践することで、攻撃の発生確率と被害の深刻度を大幅に抑えることは可能です。以下に、実践すべき主な対策を挙げます。

常に最新バージョンを維持する

ビジネスで稼働させているCMSのバージョンを見過ごしにしないことが重要です。最新版への更新を怠れば、トラブルは増える一方です。古いバージョンには既知の脆弱性が残っており、攻撃者にとって格段に攻略しやすい環境になってしまいます。

ファイル・フォルダの適切な権限設定を行う

サイトへのあらゆる侵入経路を強化することも有効な対策です。ファイルやフォルダには厳格なアクセス権限を設定しましょう。設定方法については、専門の解説記事を参考にすると理解が深まります。

信頼できるセキュリティソリューションを導入する

実績のあるセキュリティソリューションは、いざというときの頼れる味方になります。AstraのようなWAF(Webアプリケーションファイアウォール)は、不正な侵入の試みを阻止し、SQLインジェクション(SQLi)、RFI/LFI、XSS、CSRF、OWASP Top 10など、100種類以上の既知サイバー攻撃をブロックします。さらに、Astraの自動マルウェアスキャナーを使えば、ボタンひとつで定期的なサイトスキャンを実施でき、日常的な監視の手間を大きく軽減できます。

まとめ

Magecartは、サイバー空間に存在するWebスキミング集団の一例にすぎません。ネットワークの匿名性を悪用するハッカーは数百にも及びます。とはいえ、クレジットカード情報の窃取が一夜にしてなくなることはなく、Magecart自身も活動を中止する気配はありません。しかし、攻撃者よりも賢く振る舞うことで、あらゆる攻撃の試みを未然に防ぐことは可能です。その第一歩として、自社サイトにより強固な保護手段を導入することが挙げられます。

Astra Security Suiteは、かつてないほど安全なWebの実現に向けて活動を続けています。Astraはこれまで何百ものWebサイトのセキュリティ強化を支援してきました。あなたもAstraでOpenCartサイトを守りませんか?まずは無料デモをお試しください。