「ロリポップ！」で大規模なWordPressへの攻撃発覚、注意喚起した人がなぜかGMO社長に絡まれる
2013年8月30日 18:23
あるAnonymous Coward 曰く、 先日、レンタルサーバーサービス「ロリポップ！」上でWordPressを利用しているサイトが多数改ざんされるという問題が発生した。ロリポップ！からは公式なアナウンスも出ているのだが、これについてロリポップが問題が把握する以前に攻撃の事実を確認して注意喚起をした人が、Twitter上でGMOの熊谷社長から「風説の流布になりますよ」と言われていたことが話題になっている。また、同氏は「弊社サービスへのハッキングの事実はありません」と述べたものも、その後の調査で8000件以上の被害が発生していることが確認された。
社内で確認されていないセキュリティ案件が外部で話題になっているというのは確かに焦るだろうが、とはいえ内部での確認が取れていない状態でこのような対応をするのはいささか問題があるように見える。また、外部で情報が公開されたためにその後すぐに対応が取られたという風にも見えてしまう。
なお、ロリポップ側は「WordPressのプラグインやテーマの脆弱性を利用し、不正なファイルがアップロードされました」と発表しているが、問題はこれだけではなく、ロリポップで提供されているWordPressの設定ファイル（.htaccessおよびwp-config.php）の初期設定でのパーミッションが不適切で同一サーバー内の他のユーザーからその内容が見えてしまうような状態であったことや、一部のMySQLサーバーに対しインターネットから無制限での接続が可能だった点など、ロリポップ側の不適切な設定によって被害が大きくなっているとの指摘もある。
また、Apache HTTP Serverにおけるsymlink関連のセキュリティ問題が使われてアカウントを窃取されたのではないか、という声もあるようだ。
スラッシュドットのコメントを読む | ITセクション | セキュリティ | Twitter | インターネット
関連ストーリー：
OCN、ロジテック製無線LANルータの脆弱性を突いた攻撃を受けていた 2013年08月21日
Reutersのブログ、2週間で2度の不正アクセスを受ける 2012年08月18日
マルウェア「Flashback」の感染は脆弱性が放置されたブログサイトから始まった 2012年04月25日