ConoHa WING（GMOインターネット）の一部サーバーへの不正アクセス（426アカウント）：Webサーバー領域のデータが対象、サイト運営者が今日やること

同社は、対象の利用者には「ご契約情報として登録されているメールアドレス宛」に個別に連絡しており、個別の連絡がない利用者は本件の影響対象ではないとしています。

受信箱だけでなく、迷惑メールフォルダも確認してください。制作会社に契約を任せている、昔のメールアドレスで登録したままになっている、といった場合は、その登録先に届いているはずです。自分で開いた公式サイトからログインして登録メールアドレスを確かめるか、発表に載っている窓口に問い合わせてください（窓口は下の「何が起きたのか」にあります）。

同社は、本件に便乗したフィッシングメールに注意するよう呼びかけ、同社からパスワードやクレジットカード情報をメールで聞くことはないとしています。個別の連絡についても、送信元と内容を確認してから対応するよう求めています。

レンタルサーバーの事故のあとは、たとえば「対象のため再設定が必要です」「契約の確認をしてください」のような文面（当サイトの例）で、ログイン画面に似せたページへ誘う偽メールが考えられます。メール内のリンクからログインせず、ブックマークや自分で検索した公式サイトから開いてください（見分け方は フィッシングとは）。

同社は、対象の利用者には本件の詳細と「今後ご協力いただきたい対応事項」を個別にメールで連絡しているとしています。その内容は公開されていないため、本記事では書けません。メールが本物かどうかは、上の手順2のとおり、リンクを使わず公式サイトから確かめてから進めてください。

対象の情報は「Webサーバー領域に保存されたデータ」です。持ち出されたかどうかは発表に書かれていませんが、当サイトは、読まれた・書き換えられた可能性があるものとして扱うことを勧めます。分からない状態で残しておくより、変えるほうが手間も危険も小さいためです。

• WordPressの wp-config.php に書いたデータベースのユーザー名とパスワード（データベースのパスワードを変えたら、wp-config.php も同じ値に書き換える）
• .env などの設定ファイルに書いた、決済・メール配信・地図などの外部サービスのAPIキー（各サービスの管理画面で再発行し、古いキーを無効にする）
• WordPressの管理者ユーザーのパスワードと、wp-config.php の秘密鍵（ソルト）。作り直すとログイン中の人が全員ログアウトされる
• FTP・SSHのパスワードや鍵、サーバーに登録した公開鍵
• サーバー上に置いていたバックアップファイル（データベースの書き出しなど）。中身の認証情報や個人情報も、読まれたものとして扱う

変更は、ウイルス対策ソフトでスキャンした手元の端末から行ってください。設定ファイルの置き場所を見直すなら レンタルサーバーで .env を公開しないための配置と設定、APIキーの扱いは .env とAPIキーの基本 にまとめています。

同社は不正プログラムを9月18日に排除したとしています。それでも、自分のサイトの中に、自分が加えていない変更が残っていないかは、利用者自身で確かめておくと安心です。不正アクセスが始まったのは9月3日なので、それ以降の変更を中心に見ます。

• ファイルマネージャーで公開フォルダを更新日時の新しい順に並べ、自分が更新していない日付のファイルや、画像フォルダの中のPHPファイルがないか
• WordPressの「ユーザー一覧」に、作った覚えのない管理者がいないか。入れた覚えのないプラグイン・テーマがないか
• コントロールパネルの定期実行（cron）の設定に、登録した覚えのないものがないか

確かめる場所と順番は サイトやサーバーが不正アクセスされたか調べる方法 に環境別にまとめています。見覚えのないものを見つけたら、消す前にコピーを取り、窓口に連絡してください。サイトに問い合わせフォームの送信内容や会員情報など、他人の個人情報を置いていた場合は、同じ記事の「個人情報が漏れたおそれがあるとき」も確認してください。

同社によれば、会員・契約・支払い情報は対象のサーバーとは別の環境で管理されていたため、漏えいはなかったとしています。置き場所を分けておくと、一部が侵害されたときに影響が及ぶ範囲が狭くなる、という一般的な考え方の例です。

自分のサイトでも同じことができます。データベースの書き出しや古いバックアップをWebサーバー領域に置いたままにしない、APIキーは必要な権限だけのものを発行する、設定ファイルは公開フォルダの外に置く。点検の手順は 公開ディレクトリに秘密ファイルを置き忘れていないか にあります。

公表された日付では、不正アクセスの開始（9月3日）から検知（9月16日）まで13日でした。これは日付の差で、検知が遅かったかどうかを評価するものではありません。ただ、事業者側で何かが起きたとき、利用者が自分のサイトの変化に気づけるかどうかは、利用者側の仕組みで決まります。

最初の1つとしては、WordPressの管理者ユーザーの一覧と、公開フォルダの中のPHPファイルの一覧を週に1回書き出して前回と比べる方法が手軽です。増えていたら、それだけで調べ始めるきっかけになります。WordPress全体の固め方は WordPressのセキュリティ対策 にまとめています。

今回、対象かどうかを知る手段は、契約に登録したメールアドレスへの個別の連絡です。制作会社のアドレスや使っていないアドレスのままだと、連絡に気づけません。登録メールアドレスが今も読めるものか、迷惑メールに振り分けられていないかを、事故がない今のうちに確かめておいてください。