WordPress不正アクセスでLPサイト改ざん

後日リュウジ氏もこの議論を受け、「(WordPressでは)扱いが難しい」「サービスが徹底している方に移行する」という趣旨だったとコメントしています。

WordPressのみならず、ソフトウェアをサーバーに導入する形のCMSでは、単にページを立ち上げるだけで後は放置できるようなものではなく、Webサイトを公開し続ける場合、自前で面倒を見るか、管理業者に任せるかに拘らず、その後もソフトウェアを最新に保つ等セキュリティ面を含めた管理を徹底することが必要となり、SaaSと契約してのサイト運営はソフトウェア管理等をサービス提供者に概ね一任できる点で有用と言えます。

SaaSの利用に費用がかかるからとはいえ、WordPressを利用する形でWebサイトを公開し続ける場合は最低限セキュリティを強化するプラグインのインストール等が不可欠、一方でLPのようなシンプルなコンテンツについては静的HTMLでの公開も有用ながら、その場合にはファイルアップロード用はじめサーバーにログイン可能なアカウントについて管理の考慮が必要、加えていずれにおいてもIDS・IPS・WAF等のソリューション導入も検討すべきと、それぞれの運用形式においてとるべきセキュリティ対策は様々なれど、必要なコストを払うことを決して怠らないことが肝要です。

VPNを経由しての不正アクセス・社内LANへの侵入については、近年ファームウェアが更新されていない機器の脆弱性を突かれるケースも多く報告されており、一方でルーター・NASや各種IoT機器において管理用パスワードをデフォルトのものから変更していなかったために侵入されたケースもまた昔から多く存在します。

6月6日には製薬会社のエーザイからもサーバーがランサムウェアに感染したと発表されており、ランサムウェアに限らずあらゆるサイバー攻撃のターゲットになること、また被害が発生してしまうことは、組織の大小に限らず発生し得ると心得、サーバーOSからIoT機器のファームウェアまで最新に保つとともに、管理者はもちろんユーザーに発行するアカウントに至るまで十分に強固なパスワードを設定することが重要です。