WordPressサイトを運営していると、脆弱性を悪用された不正アクセスや、サイトを踏み台にした迷惑メール送信などの被害が発生することがあります。特に「wp2shell」と呼ばれる脆弱性については、WordPressサイトが攻撃者に利用され、フィッシングメールの送信元や中継サーバーとして悪用される可能性があるため注意が必要です。この記事では、wp2shellによる被害の仕組みやメールヘッダで不審な送信元を確認する方法、WordPress管理者が行うべき対策について解説します。
wp2shell脆弱性とは何か
wp2shellとは、WordPress環境に存在する脆弱性を悪用して、攻撃者がサーバー上で不正な操作を行うことを目的とした攻撃手法です。
一般的にWordPressは本体、テーマ、プラグインなど複数の要素で構成されています。そのため、古いプラグインや脆弱性が修正されていないテーマを利用している場合、不正アクセスの入口になる可能性があります。
攻撃者がサイトへの侵入に成功すると、ページ改ざんだけではなく、メール送信プログラムの設置やマルウェア配置など、サーバーを悪用した活動につながるケースがあります。
乗っ取られたWordPressサイトが迷惑メール送信サーバーになる仕組み
WordPressサイトが不正アクセスを受けた場合、攻撃者はそのサーバーをフィッシングメールや迷惑メールの送信元として利用することがあります。
例えば、攻撃者がWordPress内にメール送信用の不正プログラムを設置すると、サーバー自身から大量のメールを送信できます。その結果、メールヘッダには本来のサイト管理者が意図していないIPアドレスやドメインが送信元として記録されることがあります。
また、企業サイトの場合はMXレコードに登録されているメールサーバーや同一環境のサーバーが影響を受けることもあり、利用者から見ると正規ドメインから送られたように見えるフィッシングメールが発生する可能性があります。
メールヘッダに自社ドメインやサーバーIPが表示される原因
迷惑メールフィルターでブロックされたメールを確認した際、自社ドメインや関連するIPアドレスが発信元として表示される場合、いくつかの原因が考えられます。
- WordPressサイトが不正アクセスされメール送信に利用されている
- メールアカウントの認証情報が流出して利用されている
- メールサーバーの設定が悪用されている
- 送信元アドレスを偽装したスパムメールである
特にWordPressを利用しているサーバーで、最近アクセス数やメール送信量に異常がある場合は、不正なメール送信プログラムが設置されていないか確認する必要があります。
例えば、普段は1日に数通しかメールを送らないサイトなのに、サーバー管理画面で大量のメール送信履歴が確認できる場合、不正利用されている可能性があります。
WordPressが乗っ取られているか確認する方法
WordPressサイトが攻撃を受けているか確認する場合、以下のようなポイントをチェックします。
- 管理者ユーザーに見覚えのないアカウントが追加されていないか
- 知らないプラグインやテーマがインストールされていないか
- WordPressのファイルに不審なPHPファイルが追加されていないか
- サーバーのメール送信ログに大量送信履歴がないか
- Googleなどでサイトが危険サイトとして警告されていないか
また、WordPress用セキュリティプラグインを利用してファイル改ざんチェックやログ監視を行うことも有効です。
wp2shellなどのWordPress脆弱性を防ぐための対策
WordPressの不正利用を防ぐには、日頃から基本的なセキュリティ対策を継続することが重要です。
具体的には、WordPress本体やプラグイン、テーマを常に最新版へ更新することが基本になります。特に利用していないプラグインを削除することは、不正侵入経路を減らす効果があります。
また、管理者アカウントには推測されにくいパスワードを設定し、可能であれば二段階認証を導入すると安全性が高まります。
被害が疑われる場合に行うべき対応
もしWordPressサイトが迷惑メール送信に利用されている疑いがある場合は、放置せず早急に対応する必要があります。
まずサーバー会社へ連絡し、不正アクセスやメール大量送信の状況を確認します。その後、WordPress管理者パスワードやFTP、データベースなど関連する認証情報を変更します。
さらに、不審なファイルの削除やWordPressの再インストールが必要になる場合もあります。単純にプラグインを削除するだけでは、攻撃者が設置したバックドアが残っている可能性があるため注意が必要です。
まとめ
WordPressのwp2shellのような脆弱性を悪用されると、サイトが改ざんされるだけでなく、フィッシングメールや迷惑メールの送信サーバーとして利用される可能性があります。
メールヘッダに自社ドメインやサーバーIPが表示される場合は、単なる送信元偽装だけでなく、実際にサーバーが侵害されている可能性も考えて調査することが大切です。
WordPress本体やプラグインの更新、不要な機能の削除、ログ監視など基本的な対策を継続することで、不正利用のリスクを大きく減らすことができます。
コメント