Для тех, кто ведёт сайт на сервисе аренды хостинга ConoHa WING. Эта статья основана на официальном уведомлении GMO Internet, Inc. и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации новых сведений организацией
По состоянию на 15 октября 2026 годаПока неизвестно
- Были ли похищены данные в областях веб-серверов
- Причина (установлена компанией, но не раскрыта)
- Что делала установленная программа
- Что просили сделать затронутых клиентов (отправлено только индивидуальным письмом)
- Меры по предотвращению повторения
Компания говорит, что оперативно опубликует любые новые установленные факты в последующем уведомлении. По состоянию на 15 октября в списке новостей ConoHa WING по этому инциденту последующих сообщений не было.
Что клиентам ConoHa WING следует сделать уже сегодня
Шаги 1 и 2 относятся ко всем клиентам; шаги 3–5 относятся к клиентам, получившим индивидуальное письмо. Шаги 3–5 — общая рекомендация этого сайта, а не указания компании. Если письмо компании предлагает иные действия, сначала выполните их.
Проверьте, затронуты ли вы: найдите индивидуальное письмо на зарегистрированный адрес
Компания говорит, что связалась с затронутыми клиентами индивидуально, «по адресу электронной почты, указанному в договорной информации», и что клиенты, с которыми не связались, не затронуты.
Проверьте папку «Спам», а не только входящие. Если договор за вас заключала веб-студия или вы регистрировались на старый адрес, письмо должно было прийти туда. Войдите через официальный сайт, который вы открываете сами, чтобы узнать, какой адрес зарегистрирован, или обратитесь в контактную службу, указанную в уведомлении (см. раздел «Что произошло» ниже).
Даже если вы не затронуты, остерегайтесь фишинговых писем, использующих этот инцидент
Компания предупреждает о фишинговых письмах, использующих этот инцидент, и говорит, что никогда не запрашивает у клиентов пароли или данные банковских карт по электронной почте. Она также просит клиентов проверять отправителя и содержание индивидуальных уведомлений, прежде чем что-либо предпринимать.
После инцидента с хостингом вероятны поддельные письма с такими формулировками (это наши примеры): «ваш аккаунт затронут, его нужно сбросить» или «подтвердите ваш договор», которые ведут на страницы, сделанные под экран входа. Не входите по ссылкам из писем; открывайте официальный сайт из закладок или через собственный поиск (см. что такое фишинг).
Если вы затронуты: начните с того, что просит письмо
Компания говорит, что отправила затронутым клиентам подробности и «действия, которые мы просим вас выполнить», индивидуальным письмом. Это содержимое не опубликовано, поэтому в этой статье его воспроизвести нельзя. Прежде чем что-либо делать, убедитесь, что письмо настоящее, как в шаге 2: проверьте через официальный сайт, а не по ссылкам из письма.
Если вы затронуты: считайте, что учётные данные в области веб-сервера могли быть прочитаны, и смените их
Затронуты «данные, хранящиеся в областях веб-серверов клиентов». В уведомлении не сказано, были ли они похищены, но этот сайт рекомендует считать, что они могли быть прочитаны или изменены. Смена учётных данных требует меньше усилий и меньше рисков, чем оставление их в неизвестном состоянии.
- Имя пользователя и пароль базы данных WordPress в
wp-config.php(после смены пароля базы данных укажите то же значение вwp-config.php) - Ключи API сторонних сервисов (платежи, рассылка писем, карты и т. д.) в
.envи аналогичных файлах: выпустите новые в панели каждого сервиса и отключите старые ключи - Пароли администраторов WordPress и секретные ключи (соли) в
wp-config.php; пересоздание солей выведет всех пользователей из системы - Пароли и ключи FTP и SSH, а также открытые ключи, зарегистрированные на сервере
- Файлы резервных копий на сервере (например, выгрузки баз данных): считайте, что учётные данные и персональные данные в них тоже могли быть прочитаны
Вносите изменения с компьютера, проверенного антивирусной программой. Чтобы пересмотреть место хранения файлов конфигурации, см. как не выставлять .env в публичный доступ на общем хостинге; по работе с ключами API см. основы .env и ключей API.
Если вы затронуты: ищите незнакомые файлы, администраторов и запланированные задания, добавленные после 3 сентября
Компания говорит, что удалила вредоносные программы 18 сентября. Тем не менее стоит самостоятельно проверить, не осталось ли на сайте изменений, которых вы не делали. Доступ начался 3 сентября, поэтому сосредоточьтесь на изменениях с этого момента.
- В файловом менеджере отсортируйте публичную папку по дате изменения и ищите файлы, изменённые в даты, когда вы ничего не трогали, или PHP-файлы внутри папок с изображениями
- В списке пользователей WordPress ищите администраторов, которых вы не создавали, и плагины или темы, которые вы не устанавливали
- В панели управления в запланированных заданиях (cron) ищите записи, которые вы не добавляли
Где и в каком порядке искать в зависимости от среды, описано в статье как проверить, не взломан ли ваш сайт или сервер. Если вы нашли что-то незнакомое, скопируйте это перед удалением и свяжитесь с компанией. Если на вашем сайте хранились чужие персональные данные, например сообщения из контактных форм или данные участников, прочитайте также раздел этой статьи о том, что делать, если персональные данные могли утечь.
Что произошло (по данным GMO Internet)
Ниже приводится информация из уведомления GMO Internet, Inc. от 20 сентября 2026 года (по состоянию на 00:25). Компания называет веб-серверы, на которых размещаются сайты клиентов, «хостинг-серверами» (shūyō hosuto).
3 сентября 2026
Третья сторона начала несанкционированный доступ к областям некоторых клиентов и установила вредоносную программу (по уведомлению компании).16 сентября
Обнаружено; началось расследование.18 сентября
Установлены причина и масштаб; вредоносные программы удалены.20 сентября
Опубликованы извинения и уведомление (содержание по состоянию на 00:25). Компания сообщила, что связалась с затронутыми клиентами индивидуально по зарегистрированному адресу электронной почты.По состоянию на 15 октября
Последующего уведомления нет.
- Сервис
- Некоторые хостинг-серверы (веб-серверы) сервиса аренды хостинга ConoHa WING
- Что произошло
- Третья сторона получила несанкционированный доступ к областям веб-серверов некоторых клиентов и установила вредоносную программу
- Масштаб
- Некоторые клиенты затронутых хостинг-серверов; 426 аккаунтов
- Затронутые данные
- «Данные, хранящиеся в областях веб-серверов клиентов». В уведомлении не сказано, были ли они похищены
- Незатронутые данные
- Персональные данные, такие как данные участников, договоров и платежей, хранятся в среде, отдельной от затронутых серверов, и, по словам компании, не утекли
- Причина
- Установлена 18 сентября, по словам компании; не раскрыта
- Связь с клиентами
- Индивидуально, по зарегистрированному адресу электронной почты; подробности и просьбы о действиях также отправлены индивидуальным письмом. Клиенты, с которыми не связались, не затронуты
- Предупреждение
- Остерегайтесь фишинговых писем, использующих этот инцидент. Компания никогда не запрашивает пароли или данные карт по электронной почте
- Контакты
- Центр поддержки клиентов (электронная почта info@conoha.jp), телефон 03-6702-0428 (10:00–18:00 по японскому времени, кроме выходных и праздников). По словам компании, ответы могут занимать время из-за большого количества обращений
Что известно и что нет
Состояние на 15 октября 2026 года. Когда выйдет последующее уведомление, столбец статуса будет обновлён.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Несанкционированный доступ и установка программы | Произошло в областях веб-серверов некоторых клиентов, начиная с 3 сентября | Подтверждено (по данным компании) |
| Число затронутых аккаунтов | 426 | Подтверждено (по данным компании) |
| Затронутые данные | Данные, хранящиеся в областях веб-серверов клиентов | Затронуты (по данным компании) |
| Были ли похищены данные в областях веб-серверов | В уведомлении не указано | Не указано |
| Данные участников, договоров и платежей | Хранятся в отдельной среде; не утекли | Не входят (по данным компании) |
| Удаление вредоносных программ | Завершено 18 сентября | Подтверждено (по данным компании) |
| Причина | Установлена 18 сентября, по словам компании, но не описана | Не указано |
| Тип и функции установленной программы | В уведомлении не указаны | Не указано |
| Связь с затронутыми клиентами | Проведена индивидуально по зарегистрированному адресу; нет письма означает, что клиент не затронут | Подтверждено (по данным компании) |
| Действия, которые просят выполнить затронутых клиентов | Отправлены индивидуальным письмом; не опубликованы | Не указано |
| Меры по предотвращению повторения | В уведомлении не указаны | Не указано |
Как это понимать: «не указано» не означает «не похищено»
Заявление компании о том, что ничего не утекло, относится к данным участников, договоров и платежей. Для данных в областях веб-серверов компания лишь перечисляет их как затронутые и ничего не говорит о том, были ли они похищены. Это не значит, что их не похитили, поэтому затронутым клиентам безопаснее сменить учётные данные, которые они там хранили.
Что обычно хранится в областях веб-серверов
В общем случае область веб-сервера в арендованном хостинге содержит больше, чем опубликованные страницы. Это не означает, что что-либо из перечисленного было прочитано или использовано в этом инциденте. Список нужен, чтобы затронутые клиенты могли понять, что менять.
Файлы конфигурации, такие как wp-config.php и .env
Пароли к базам данных, ключи API сторонних сервисов
↓→
Смените пароли, выпустите новые ключи API и отключите старые
Файлы ядра WordPress, тем и плагинов
Если их изменить, посетителям могут показывать другие страницы или нежелательный контент
↓→
Ищите файлы, изменённые после 3 сентября, и незнакомых администраторов или плагины
Резервные копии и выгрузки баз данных на сервере
Могут содержать данные участников или сообщения из контактных форм
↓→
Проверьте, что внутри; если там персональные данные других людей, выясните, нужно ли об этом сообщать
Учётных данных, записанных в файле конфигурации, достаточно, чтобы войти в базу данных или в сторонний сервис. Даже после восстановления файлов сайта значение, которое было прочитано, остаётся пригодным для использования, пока вы его не измените. Поэтому в шаге 4 рекомендуется смена учётных данных.
Прошлый случай: другой несанкционированный доступ к хостинг-сервису
Японский пример, когда были затронуты данные клиентов хостинга, — случай Sakura Internet, раскрытый в 2026 году. По словам этой компании, третья сторона получила доступ к некоторым средам клиентов через её среду управления, а число затронутых аккаунтов выросло с 583 в первом уведомлении до 951 в третьем. Также были затронуты данные участников в системе управления продажами, поэтому масштаб отличается от этого случая, где, как говорится, данные участников в него не входят. Этот случай не обязательно пойдёт по тому же пути.
Когда взлом происходит через среду управления провайдера, как в случае Sakura, клиенты не могут остановить вторжение собственными настройками. Путь в этом случае не раскрыт, поэтому его нельзя назвать таким же, но подготовка к тому, чтобы потерять меньше при взломе, полезна независимо от пути. Подготовка, например, аутентификация, не зависящая от провайдера, и хранение резервных копий вне провайдера, описана в той статье.
Что владельцы сайтов могут проверить: на основе опубликованных фактов
Компания не раскрыла причину, поэтому этот раздел не объясняет, как предотвратить инцидент. Он также не оценивает реакцию компании. Раздел опирается только на два опубликованных факта, которые можно проверить на собственном сайте: затронутые данные находились в областях веб-серверов, а данные участников, договоров и платежей хранились в отдельной среде.
Храните на сервере меньше секретов, а нужные — вне публичной папки
По словам компании, данные участников, договоров и платежей управлялись в среде, отдельной от затронутых серверов, и не утекли. Это пример общей идеи: хранение в разных местах ограничивает, насколько далеко может распространиться взлом одной части.
То же самое можно сделать и на своём сайте. Не оставляйте выгрузки баз данных или старые резервные копии в области веб-сервера, выпускайте ключи API только с нужными правами и храните файлы конфигурации вне публичной папки. Как проверить это, см. не оставили ли вы файл с секретами в публичной папке?
Имейте собственный способ замечать изменения, независимый от провайдера
По опубликованным датам между началом доступа (3 сентября) и обнаружением (16 сентября) прошло 13 дней. Это разница между двумя датами, а не оценка того, было ли обнаружение медленным. Тем не менее то, заметите ли вы изменения на своём сайте, когда что-то происходит на стороне провайдера, зависит от того, что у вас уже настроено.
Простой первый шаг: раз в неделю выгружайте список пользователей-администраторов WordPress и список PHP-файлов в публичной папке и сравнивайте их с предыдущей неделей. Всё новое — повод начать проверку. По общему укреплению WordPress см. безопасность WordPress — справочник по усилению защиты для промышленной эксплуатации.
Сделайте так, чтобы зарегистрированный в договоре адрес электронной почты был тем, который вы действительно читаете
В этом инциденте узнать, затронуты ли вы, можно по индивидуальному письму на адрес, зарегистрированный в договоре. Если там всё ещё адрес веб-студии или адрес, которым вы больше не пользуетесь, вы его пропустите. Проверьте сейчас, пока ничего не случилось, что зарегистрированный адрес — тот, который вы читаете, и что письма провайдера не попадают в спам.
Источники (открытые публикации)
Факты в этой статье взяты из следующей открытой информации. Мы не строили догадок о нераскрытых путях доступа или методах.
- GMO Internet, Inc., «[Важно] [ConoHa WING byGMO] Извинения и уведомление о несанкционированном доступе третьих лиц к некоторым хостинг-серверам (веб-серверам) (по состоянию на 00:25, 20 сентября 2026 года)» (20 сентября 2026 года; на японском языке) — conoha.jp
- Список новостей ConoHa WING (проверено 15 октября 2026 года; последующих сообщений по этому инциденту нет; на японском языке) — conoha.jp
История обновлений
2026-10-15: первая версия, основанная на уведомлении GMO Internet от 20 сентября (по состоянию на 00:25) и списке новостей ConoHa WING (проверено 15 октября). Компания говорит, что опубликует новые установленные факты в последующем уведомлении, и при этом статья будет обновлена.
Читайте далее
- Проверка собственного сайта: как проверить, не взломан ли ваш сайт или сервер (общий хостинг, WordPress, VPS)
- Когда взломан сам хостинг-провайдер: когда взломан ваш провайдер веб-хостинга: что должны делать клиенты
- Другой инцидент в другом сервисе той же компании: несанкционированный доступ к Onamae.com Desktop Cloud (VPS для автоматической торговли на валютном рынке; входы в торговые счета могли быть использованы злоумышленниками)
- Где хранятся файлы конфигурации: как не выставлять .env в публичный доступ на общем хостинге / основы .env и ключей API
- Подготовка: основы резервного копирования и восстановления / выбор многофакторной аутентификации
- Термины: что такое фишинг / что такое бэкдор
- Другие инциденты 2026 года: утечки данных и кибератаки в 2026 году (Япония и мир)