「ロリポップ！」で大規模なWordPressへの攻撃発覚、注意喚起した人がなぜかGMO社長に絡まれる 105
ストーリー by hylom
問題を確認したらどうすべきかはよく議論になりますが 部門より
問題を確認したらどうすべきかはよく議論になりますが 部門より
あるAnonymous Coward 曰く、
先日、レンタルサーバーサービス「ロリポップ！」上でWordPressを利用しているサイトが多数改ざんされるという問題が発生した。ロリポップ！からは公式なアナウンスも出ているのだが、これについてロリポップが問題が把握する以前に攻撃の事実を確認して注意喚起をした人が、Twitter上でGMOの熊谷社長から「風説の流布になりますよ」と言われていたことが話題になっている。また、同氏は「弊社サービスへのハッキングの事実はありません」と述べたものも、その後の調査で8000件以上の被害が発生していることが確認された。
社内で確認されていないセキュリティ案件が外部で話題になっているというのは確かに焦るだろうが、とはいえ内部での確認が取れていない状態でこのような対応をするのはいささか問題があるように見える。また、外部で情報が公開されたためにその後すぐに対応が取られたという風にも見えてしまう。
なお、ロリポップ側は「WordPressのプラグインやテーマの脆弱性を利用し、不正なファイルがアップロードされました」と発表しているが、問題はこれだけではなく、ロリポップで提供されているWordPressの設定ファイル（.htaccessおよびwp-config.php）の初期設定でのパーミッションが不適切で同一サーバー内の他のユーザーからその内容が見えてしまうような状態であったことや、一部のMySQLサーバーに対しインターネットから無制限での接続が可能だった点など、ロリポップ側の不適切な設定によって被害が大きくなっているとの指摘もある。
また、Apache HTTP Serverにおけるsymlink関連のセキュリティ問題が使われてアカウントを窃取されたのではないか、という声もあるようだ。
経過報告 (スコア:3, 興味深い)
週末しか自分のサイトを確認していなかったのですが、今、管理者用アカウントでログインしたところ見事にクラッキングされていました。
ログイン後の最初のページの左上に「Hacked by Krad Xin」と出ています。
まだ、ぱらっと見ただけですが、と文字コードがUTF-7に指定されていました。
ブラウザで文字コードを強制的に変更してやれば見えるようです。
ネットでwb-config.phpのアクセス権が不適切な設定がされていると見られるのでは、というのがありましたが、
FTPで確認しましたが、現在のwb-config.phpのアクセス権は400（オーナー以外呼び出し不可)になっています。
変えた覚えがないので、Lolipop側で変更されたんでしょうか？
Re:経過報告 (スコア:1)
Lolipopが変更作業をやっているようです
Lolipopのサイトにも出てるし、別コメにもあるように、メールで「変更する（した）」の連絡が来てるはず
Re:経過報告 (スコア:1)
＞このwordpressって、自分でファイルをアップロードしてインストールするものなのか、それともサービス側がウェブの管理画面でボタンクリックするだけで自前の一式を設置して自動インストールしてくれるものなのか、どっちなんだろう。
Wordpress自体はオープンソースで公開、配布されていて、自分でウェブサーバー上にインストールできますが、
多くのレンタルサーバーでは手軽に始められるようにと、ウェブ画面から簡単にインストールできる機能を提供しています。
つまりどちらもありうるわけです。
ロリポップでは後者において問題があったとされていますが、
ユーザーが自分でインストール場合でもパーミッションを適切に設定しないミスをすることもありえます。
が、やはり今回の大規模な被害についてはロリポップの責任でしょう
アカウントを窃取 (スコア:2, すばらしい洞察)
あんな発言する人が社長なわけないじゃありませんか。Twitterアカウントも乗っ取られていたんですよ。
もしくは社長さんがクラックされてたのかもしれませんね。
Re:アカウントを窃取 (スコア:4, おもしろおかしい)
クラックされてるならまともだった可能性があるからいいけど、最初からクラッシュしていた可能性も否定できない。
Re: (スコア:0)
社長はクラックをキメていたのかもしれない
Re: (スコア:0)
社長さんに脆弱性があったのは間違いなさそうだけど。
つまり (スコア:1)
社長が「弊社サービスへのハッキングの事実はありません」と、風説の流布を行っていたわけですね。
いやぁ、悪質だなぁｗ
Re:つまり (スコア:5, おもしろおかしい)
社長「私および弊社は間抜けです」
と注意喚起してたんだよ。なんたる捨て身の警告か。
すばらしい会社 (スコア:1)
ユーザーの為に自らのダメっぷりを公言するなんて、なかなか真似できる事じゃありません。
彼らはまったくもってすばらしいビジネスパーソンです。
Re:つまり (スコア:2)
Re:つまり (スコア:1)
事実ではありませんと言った上で「事実でなかったらどう責任を取るつもりなんですか？」なんて恫喝までしてるんだから救いようがないｗ
Re: (スコア:0)
完全に恐喝罪だよね、ロリポップの社長は。
Re: (スコア:0)
しかも注意喚起した人は、ちゃんと事前にGMOのサポートへ連絡していたそうだからね。
すぐに社長に連絡できなかったサポート体制がゴミなのか、
サポート担当に確認を取らなかった社長がゴミなのか……。
両方かな。
Re:つまり (スコア:1)
いや、会社の規模にもよるが、事実確認よりも前にサポート側から社長に連絡するという体制は大変そうだ。連絡を受ける社長が。
ガセ情報に踊らされることは結構あるので。いちいち社長にまで報告がいくのもどうかと。
社長がサポート担当に確認を取らなかったのか、
確認は取ったけどサポート担当が報告しなかったのか、
確認を取って連絡があったことを知っていたけど「事実はない」としたのか
そこはわからないけど、そっちはちゃんと機能してるべきだとは思う。
GMOというだけで (スコア:1)
納得できてしまいますね
このザル加減といい、恫喝といい・・・おや誰かきたようだ、うわ、何をｓ
Re:GMOというだけで (スコア:5, 興味深い)
アホな対応で株価にまで影響したら、この熊谷正寿(GMOインターネットの代表取締役会長兼社長)は、どう責任を取るのだろうね。
https://twitter.com/m_kumagai/status/372737835360858112 [twitter.com]
熊谷正寿@m_kumagai 2013年8月28日 - 8:09
Re:GMOというだけで (スコア:1)
そんな最中、セルリアンタワー11FのGMO Yoursでは納涼会と称して
浴衣美女祭りをしていたから笑えるね＾＾
しかも、納涼会はSNSに書き込むな！という徹底ぶり
ペパボさんは対応お疲れ様です。運が悪かっただけだ
Re:GMOというだけで (スコア:2)
経営者も従業員も、それなりに株価を気にするべきだろうが、ユーザの被害に言及せず、発言が株価だけでは、それこそ株価が落ちかねない。ユーザーが離れていけば、会社が儲かるわけがないのだから。
自社の株価にまったく興味がない従業員もちょっとお子様だが、自社の製品やサービスについて充分に把握していない経営者もダメダメなことには変わりがない。
Re:GMOというだけで (スコア:1)
関連情報に、つい先日のmamononewsの件 [srad.jp]が入ってないけど、
正直GMOには関わりたくないですね
Re:GMOというだけで (スコア:1)
個人的には、さくらインターネットかなぁ
#【PR】
Re:GMOというだけで (スコア:1)
なるかもしれない。明確な被害が確認されるまで(確認されても)隠し通すのでは。
気をつけねば (スコア:0)
損害賠償請求がスラドに……
カナダ・ケベックのホテルでトコジラミに刺されたことをレビューに書いた男性にホテルが損害賠償を請求
http://it.srad.jp/story/13/08/25/0124252/ [srad.jp]
Re: (スコア:0)
これも風説の流布で捕まるかな、でも事実だからな。
とはいえ取引一回缶コーヒー以下の安さという魅力は捨てがたくて、困ってしまう。
なんか楽天に近いものあるな
企業の体質は信用できず、トップの人柄は最低だが、コスパだけは圧倒的に良くて、文句を言いつつ、結局は我慢して使ってしまう。
ロリポップか (スコア:1, 興味深い)
昔買ってたよ。
「魔狩人」好きだったな～
らじゃったのだ
Re:ロリポップか (スコア:1)
私が初めて読んだのはタイトルがすでに「Ⅱ」付きでした。
＃とりあえず古本屋で見つけた一巻と、コミケ見物にいったときに同人誌買ってきました。
＃あの人の漫画、単行本にならないの多すぎて悲しい。
ψアレゲな事を真面目にやることこそアレゲだと思う。
哀れ (スコア:1)
この熊谷正寿ってバカ社長、逆ギレの件だけでなく、
自分を賞賛するツイートばかり非公式RTで広めてるのが何とも……小物だな
WordPressって登場当初にちょっと弱くね (スコア:0)
って話がちょろっと出たけど急に「使いやすい」みたいな話ばかりになり
爆発的に広がったよね。
まぁどうでもいい話だけどね
Re: (スコア:0)
実際に低予算で中小規模のホームページデザイン案件を請け負っていると、WordPressはかなり使いやすいです。
更新画面のUIがBlogベースだと納品先の担当者の方に理解してもらいやすいですし、
ちょっと凝った要望が出ても、プラグインである程度は対応できるからです。
Re:WordPressって登場当初にちょっと弱くね (スコア:1)
個人的にはMT派ですが、業務はどんどんWordPressに流れていっています。
ライセンス変更が痛いです。
# 必ずしもMTが「安全」とは言わない。かなりマシだとは思いますが。
Re:WordPressって登場当初にちょっと弱くね (スコア:2)
とはいえ、個人的にはMODX推し
Re: (スコア:0)
今回は結局、Wordpressは完全濡れ衣だった模様。
（まだロリポはそうとは認めてないけどね）
Re: (スコア:0)
このスラドの兄弟サイトであるSourceforge.jpでもWordPressを使ったblogサービスを提供しているね。
Re:WordPressって登場当初にちょっと弱くね (スコア:2)
ふつーに『姉妹サイト』でいいと思う。
手当たり次第？ (スコア:0)
詳細は知りませんが、手当たり次第にアタックしてるようにも見えるので、
ロリポップの対応はさておき、他のレンタルサーバも油断できないのでは
Re:手当たり次第？ (スコア:5, 参考になる)
さくらのレンサバは大丈夫みたいですね。
https://twitter.com/kunihirotanaka/status/373423792451645441 [twitter.com]
Re: (スコア:0)
よく考えたらレンタルサーバに限らないな
Re: (スコア:0)
しめ鯖とか焼き鯖とか
Re:手当たり次第？ (スコア:1)
問題は生鯖。こいつだけは気を付けないと中てられる。
Re:ServerQueenだけどメール北 (スコア:1)
Re:ServerQueenだけどメール北 (スコア:1)
全世界に公開しておきながら、内部では閲覧禁止。それでこそGM0クオリティー。
Re:ServerQueenだけどメール北 (スコア:2)
Re:ServerQueenだけどメール北 (スコア:2)
UIDもGIDもビット長は同じなので、UID=GIDにして全員に違うGIDを与えることは技術的には可能かつ安直ではあります。全員「顧客」という一つのGIDを与えるのが一番安直ですけど。
Re:ServerQueenだけどメール北 (スコア:2)
#2451342 [srad.jp] の人が書いている、 wp-config.php のモードを 404 に変更というのはロリポップの話じゃないよ。コメントのタイトルにある通り、同じ GMO インターネットグループが運営している ServerQueen の話でしょ。
ロリポップでは suexec している [lolipop.jp]から、他の利用者から読まれては困る PHP ファイルのモードを 404 にする必要はなく、実際今回対策としてレンタルサーバー側で 400 に変更した。ロリポップの発表 [lolipop.jp]の「2013/08/29 22:40 追記」の「対策について」の 2 を参照。
Re:ServerQueenだけどメール北 (スコア:2)
ってことは、セキュリティー上他の利用者に読まれては困るファイルをモード 404 にしても、他の利用者が CGI スクリプトを書いたら読めちゃいそうだけど、なんか僕勘違いしてる?
Re:ServerQueenだけどメール北 (スコア:2)
全世界に公開しているとは僕は最初から思ってないけど…恥ずかしいことを言っているのはどっち?
Re:ServerQueenだけどメール北 (スコア:1)
いや、UNIXの基礎知識はご丁寧にご説明頂かなくてもなくても結構ですw
ただ、今までの経緯からして、Apacheが正しく設定されてるとも思えないから、普通にサーバーハーデニングし直す場合、400にするでしょって話。
Re:いま一番ＨＯＴな頭痛 (スコア:2)
アーキテクチャ全体が古いですね。JavaScriptが強力になった今となっては、サーバ側でHTMLを生成する必要性がなし。JavaScript でスッキリ書ける。MySQL やらでコメントを保管してるとか、素朴な 00 年代前半のウェブの作り方。クラウドベースの NoSQL で無制限のスケールがあっさり手に入る今となっては、書きにくく、性能低く、プラグイン機構を見る限り、デザインもしカスタマイズも難しそうだ。たぶん、過去のなにがしかの資産がだけがメリットなのだろう。
この手のシステムはやめたほうがいい。新しくウェブサイトやブログ作る意味は SNS の発達で意味がなくなってるし、Facebook, インスタグラムや, YouTube を適切に使うことのほうが広告効果は大きい。
Re:いま一番ＨＯＴな頭痛 (スコア:2)
>無制限？あっさり？
Amazon dynamodb
Google Cloud datastore
Re:いま一番ＨＯＴな頭痛 (スコア:1)
K社長の心境はこうじゃないでしょうか。
「なんで共有サーバの設定がいい加減な状態でWordPressをユーザに提供してる奴ら（社員）のせいで、
おれが悪いみたいにいわれなきゃならねんだよー！！！」
上にもありましたが発言を削除していないのは立派というか、削除したらしたで隠蔽とか言われるので
消せないだけかもしれません。
でも一連の発言をみると、冒頭の逆ギレ及び自分の認識不足に対するお詫びは一切ないんですよね。
非公式RTもエゴサーチの結果でしょうか。