法人・企業サイトは要注意！！WordPressの脆弱性にご用心！

●WordPressは安全なのか？

 

この問いに対して、ソーシャルエンジニアリングの観点から結論を導く時、

その解は否＝安全ではないとなる。

 

WordPressはまったく安全ではない。

 

その最大の理由のひとつが、WordPressのオープンソースという特性である。

オープンソースのソフトウェアの宿命として
WordPressがどのような原理原則で動作しているのかについては
クラッカー側に完全に筒抜けの状況にある。

 

結果、次々と新たな＜不正な改竄方法＞が発見・拡散され、
WordPressによって製作されたサイトは年柄年中、侵入と情報漏洩の危機に見舞われる事になる。

 

この一連の構造から鑑みても、
＜法人がWordPressを使うべきではない＞のは論理的に自明だが、
実際には自社サイトの作成に際して
＜WordPressの使用＞を選択する企業は少なくない。

 

それは、多くの企業の＜WEB担当者/IT担当者＞が
ITセキュリティ分野に関しては専門的知識を持たないが故で、
これはすなわち、
彼ら専門知識を持たない人々によって、
選定・採用・運用されている＜現実のWordPress＞の多くが
ほとんど絶望的なまでにハッキング対策が成されていない実情を意味する。

 

端的に言って、ハッカー側からの視点では
WordPressを採用している＝セキュリティがザルの公算が相当に高いことを示し
それはある種の＜侵入可能フラグ＞と考えることができる。

一方、果たしてWordPressを現在進行形で運用している法人内部には、
IT担当ないしWEB担当が選定・採用・運用しているWordPressに関する十分な水準で機能する安全評価システムがあるのかと言えば実際に安全評価を行うのは当の選定・採用・運用チームであるケースが殆どだ。

 

つまりは、論理構造的には、まったく安全性など担保されない状況で
大多数のWordPress製WEBサイトの保守が継続されているのである。

では、実際にWordPressを＜安全に運用＞しようとする場合、
果たしてこれは可能なのだろうか？

 

残念ながら、その答えは否である。

 

一定の技術水準があれば＜WordPressが誰にでも改竄が可能＞な理由を
実際のハッキングプロセスを辿ることで実際に論証してみせよう。

 

始めに、WordPressで作成されたWEBサイトは、
ソースコードやディレクトリ名から一見してそれと判別が可能で
内部バージョンも外部に露見している状態にある。

 

したがって、クローラーを用いて国内外の
＜WordPressで作成されたWEBサイトの一覧＞を
予め取得しておくことは
ハッカーにとっては極めて容易だ。

 

そうやって収集したWordPress製サイトのリストを蓄積しつつ、

ハッカーたちはXデーを待つ。

 

ここで言うXデーとは、
定期的に起きるイベント＝新たな脆弱性の発見を指す。

 

一定間隔で発生するXデーが到来したとき
侵入方法に関する最新の具体策の入手に至る訳で、
間髪をいれずリストにある企業サイトへの攻撃が実行される。

攻撃の要諦としては
各法人が新たに発見された脆弱性対策措置を完了する前に
予めリスト化しておいたWordPress製法人サイトに総当り攻撃を仕掛け
浸透に成功したサーバから個人情報を盗み出すのである。

 

こういう決定的な場面では
クラッカーの動きは極めて素早く
法人のIT担当者を圧倒する速度で動く。

 

その上で、土日祝日や深夜を問わず、ハッカーたちはこの機を逃さず執拗勝つ精力的に活動するので、労働基準法の内側でしか動けない法人IT担当者が抗う術は、殆ど残されていない。

 

以上の通り、オープンソースであるWordPressは、構造的に割られるべくして割られる運命にあるわけで、法人が採用すべきない理由は明らかだ。

 

WordPressの採用をIT担当が決めたので、そうした。

 

それはすなわち、襲ってくれと宣言するに等しく、経営層の判断としては、

あまりに無防備かつ無策といえよう。