OpenCartサイトを標的とするハッキングキャンペーン:「データベースがハッキングされた」という脅迫メールの手口とは

セキュリティ研究者らは、「OpenCartデータベースがハッキングされた」というメールを送りつけることで数千規模のOpenCartサイトへの侵入を狙い、ユーザーの機密情報を窃取する進行中のハッキングキャンペーンを最近確認しました。このキャンペーンでは、OpenCartモジュールに存在するSQLi(SQLインジェクション)脆弱性や、サイトにインストールされた未修正の拡張機能が悪用され、最終的に顧客データベースが盗み出されています。

さらに注目すべきは、攻撃者がサイト所有者に対して「データベースがハッキングされた」と通知するメールを送信し、その脆弱性を修正するサービスを有償で提供するという手口まで取っている点です。

Ananda率いる調査チームは8月初旬からこのキャンペーンを継続的に監視しており、OpenCartプラットフォーム上で稼働する多数のECサイトが被害を受けていることを確認しています。そして今週に入り、このキャンペーンの活動が急激に活発化し、OpenCartサイト所有者からも「データベースがハッキングされた」という報告が相次いでいます。

ハッカーはどのようにしてOpenCartデータベースへアクセスするのか?

使用されているツール

このキャンペーンの分析過程で、研究者らは攻撃者がSQLmapというツールを使用して、ECプラットフォームのセキュリティ上の問題や誤った設定を特定していることを突き止めました。

SQLmapは、入力パラメータを自動的に識別し、入力フィールドへのクエリ注入を試みる自動化された脆弱性スキャンツールです。本来、このツールはテスターやセキュリティ専門家がシステムの弱点を把握し、パッチを適用するために活用されるものですが、攻撃者たちは全く別の目的で積極的に利用しています。

悪用された脆弱性:iSenseLab製「PreOrder」モジュールのSQLインジェクション脆弱性

OpenCartサイトにおけるSQLiであることから、研究者らはサイトのテーマや一部のモジュールにも脆弱性が存在する可能性があると着目しました。詳細な調査の結果、広く利用されているOpenCart拡張機能「PreOrder by iSenseLab」に脆弱性があり、ハッカーがこれを悪用してサイトのデータベースへの不正アクセスを獲得していたことが判明しました。

Pre-Orderモジュールは、在庫切れの商品をユーザーが注文できるようにする機能を提供し、「カートに追加」ボタンを「予約注文」ボタンに置き換えます。これにより、顧客はOpenCartの予約注文機能を簡単に利用でき、自分が特定の商品を予約注文していることを明確に認識できます。

ハッカーが悪用しているのは、public関数GetPreorderedProduct($product_id)に対する入力値検証(バリデーション)が実装されていない旧バージョンのPreOrder拡張機能です。この欠陥により、対象サイトでSQLiの問題が発生していました。

研究者らはPreOrderモジュールのバージョン2.9.3にSQLi脆弱性が存在することを確認しました。それ以前のバージョンも同様に脆弱である可能性があります(旧バージョンについては未検証)。検証済みで脆弱性がないことが確認されている最新版2.9.6(OpenCart 2.0.x〜2.3.x対応)へのアップデートを強く推奨します。

ハッカーがOpenCartサイト所有者に送信したメールの内容

脆弱性の悪用に成功した後、ハッカーはサイトのデータベースを取得し、被害者に対して「ウェブサイトをハッキングした」と主張するメールを送り、盗み出したデータベースのスクリーンショットを証拠として添付します。以下は実際に送信されたメールの内容です。

こんにちは。

あなたのウェブサイトに脆弱性を発見しました。この脆弱性により、私はあなたのデータベースに簡単にアクセスできます。

- 脆弱性を無視した場合:
データベースの内容は、ハッカーにとって非常に容易に知ることができます。

・あなたのウェブサイトにはバックドアスクリプトが仕掛けられ、ハッカーはログインページを経由せずにいつでも侵入できるようになります。

・ウェブサイトの顧客および管理者データは、ハッカーによって盗まれ、改ざんされ、削除される恐れがあります。

・顧客データは悪用される可能性があります。多くの顧客は他のアカウントやウェブサイトでも同じパスワードを使い回しているためです。

・顧客がこの事実を知れば、フォームへの入力やサイト上での取引に不安を感じ、あなたのウェブサイトを訪れなくなる可能性が高いでしょう。

私は修正をお手伝いします。15〜17ページのドキュメント形式のレポートを送信します(ページ数は貴サイトの脆弱性の状況により異なります)。

- レポートの内容:

1. 脆弱性の場所
2. 修正方法
3. 脆弱性の予防策
4. ウェブサイトセキュリティの強化方法

ご興味はありますか?

私が発見した脆弱性の結果、つまり誰でも閲覧可能な状態だったあなたのデータベースの内容を添付します。

敬具

検出と対策

このハッキングキャンペーンは、インターネットに公開されているOpenCartサイトおよびそのモジュールを標的としています。自サイトやストアが感染していないかを確認するには、Astra Securityが提供するアプリケーションファイアウォールとセキュリティ監査の活用が有効です。感染やハッキングの試みを検出できるだけでなく、自動化ツールSQLmapのブロックを含む具体的な対策の推奨事項も提供され、サイトをこうした攻撃から守り続けることができます。

また、以下の基本的なセキュリティ対策も強く推奨されます。

• データベースサーバーをインターネットに公開しない:ネットワークのセグメンテーションとホワイトリスト型のアクセスポリシーにより、組織内の特定ユーザーのみがアクセスできる構成にしてください。
• ログ記録の有効化:不審なログイン試行、予期しないログイン、繰り返されるログイン試行を監視・警告できるよう、ロギングを有効にしましょう(Astra Securityのファイアウォール機能にも含まれています)。
• 定期的なアップデート:サイトにインストールされている拡張機能・モジュール・テーマ・プラグインを常に最新バージョンに保つことで、既知の脆弱性が修正され、サイト全体のセキュリティが大幅に向上します。