レンタルサーバー
このタグの記事 6 件
ConoHa WING（GMOインターネット）の一部サーバーへの不正アクセス（426アカウント）：Webサーバー領域のデータが対象、サイト運営者が今日やること
GMOインターネット株式会社は2026年9月20日、レンタルサーバー「ConoHa WING」の一部の収容ホスト（Webサーバー）で、一部の利用者のWebサーバー領域に第三者が不正にアクセスし、不正なプログラムを設置したと発表した。対象は426アカウントで、対象の情報は「お客様のWebサーバー領域に保存されたデータ」。不正アクセスと設置は9月3日に始まり、9月16日に検知、9月18日に原因と影響範囲を特定して不正プログラムを排除した。原因は特定したとしているが、内容は公表していない。会員情報・契約情報・支払い情報は別の環境で管理しており、漏えいはないとしている。Webサーバー領域のデータが外部に持ち出されたかどうかは、発表に書かれていない。対象者には登録メールアドレスへ個別に連絡しており、連絡がない利用者は対象ではないとしている。10月15日時点で続報はない。当サイトの結論：まず個別の連絡が届いているかを確かめ、届いていればその指示に従う。そのうえで、Webサーバー領域に置いていた認証情報（wp-config.phpのデータベースのパスワード、.envのAPIキーなど）は読まれたものとして変え、9月3日以降に増えたファイル・管理者・定期実行を確かめる。
サイトやサーバーが不正アクセスされたか調べる方法：レンタルサーバー・WordPress・VPS別の確認手順と、見つけたときの順番
サイトの侵入確認は『外から見える兆候』と『中に残る痕跡』の両方を見る。兆候＝Search Console の『セキュリティの問題』、検索結果の警告、事業者からの通知、知らない管理者、スマホや検索経由だけのリダイレクト。痕跡＝管理者ユーザー、コアファイルの改変（wp core verify-checksums）、ログイン履歴、authorized_keys、cron、待ち受けポート、最近変更されたファイル。当サイトの視点＝『何も見つからない』は安全の証明にならない。見つけたら、掃除の前に証拠を残し、きれいな端末から認証情報を全部変え、侵入前のバックアップか作り直しで戻し、入口を塞いでから再審査を依頼する。
レンタルサーバーが不正アクセスされたとき、利用者は何をすべきか
事業者側の管理環境が侵害される類型は、利用者の設定では防げない。9月10日の調査結果で、販売管理システムへの不正アクセスが2023年4月から2026年3月までの間に発生していたこと、対象は583から951アカウントへ増えたこと、一部の初期パスワードがハッシュ化されていなかったことが公表された。だから守り方は『防ぐ』から『被害範囲を縮める』に切り替える。当サイトの視点＝共用サーバーに置いた情報は読まれた前提で設計し、認証・バックアップ・秘密の置き場所を事業者の外へ分散させる。発行時の初期パスワードを使い続けている契約は、今日変更する。
公開ディレクトリに秘密ファイルを置き忘れていないか：webrootの棚卸し
webroot（公開ディレクトリ）に置いたファイルは、URLを叩けば誰でも取得できる。トークンや認証情報のJSON・.env・バックアップを置き忘れると即・実害。さらに共通テンプレート由来なら、全サイトの同じ場所に同じファイルがある。対策＝公開ディレクトリには公開してよい物だけ、秘密はwebroot外＋権限600、そして自分のサーバーを棚卸しして1か所見つけたら全台点検。
Laravelの.envが外部から見られる状態だった事例：共用レンタルサーバーでの配置ミスと直し方
原因は『アプリ本体をpublic_html直下に置いた』こと。public/ だけを見せるべきだった。応急処置→キーの再発行→構造改修の三段で直し、再発を仕組みで防ぐ。
レンタルサーバーで .env を公開しないための配置と設定
最も効果のある対策は『アプリ本体をdocrootの外、public/ だけ公開』。まず .htaccess で応急処置をし、構造改修で恒久化、最後に自己点検。当サイトの視点＝これは個人のミスでなく、危険な配置が業界で標準になってしまった問題。だから注意力でなく仕組みで防ぐ。symlinkより bootstrap-redirect が安定する。