ConoHa WING（GMO Internet）部分Web服务器遭未授权访问（426个账户）：客户网站服务器区域的数据受影响，网站所有者今天应做什么

公司表示，已通过“登记为合同信息的电子邮件地址”单独联系受影响的客户，并且未被联系的客户不受影响。

请同时检查收件箱和垃圾邮件文件夹。如果是网站代理商替您签订的合同，或您登记的是旧地址，邮件可能发到了那里。请通过您自行打开的官方网站登录，查看登记的是哪个地址，或咨询通知中的联系窗口（见下文“发生了什么”部分）。

公司提醒客户注意利用此次事件的钓鱼邮件，并表示公司绝不会通过电子邮件向客户索要密码或信用卡信息。公司还要求客户在采取行动前，核实单独通知的发件人和内容。

托管服务发生事件后，伪造邮件很可能出现，措辞可能类似（此为我们的举例）“您的账户受影响，必须重置”或“请确认您的合同”，并链接到伪装成登录页面的网站。请不要通过邮件中的链接登录；请从书签或您自己的搜索中打开官方网站（参见什么是钓鱼）。

公司表示，已通过单独邮件向受影响客户发送了详细信息以及“希望您采取的措施”。该内容不公开，因此本文无法重复。在操作之前，请按第2步的方法确认邮件真实：通过官方网站核实，而非点击邮件中的链接。

所涉数据为“客户Web服务器区域内存储的数据”。通知未说明其是否被取走，但本站建议将其视为可能已被读取或篡改。与让凭据处于未知状态相比，更改凭据在工作量和风险上的代价更小。

• WordPress的wp-config.php中的数据库用户名和密码（更改数据库密码后，请在wp-config.php中填入相同的值）
• .env等文件中外部服务（支付、邮件发送、地图等）的API密钥：请在各服务的控制台中重新签发，并停用旧密钥
• WordPress管理员密码，以及wp-config.php中的密钥（salts）；重新生成salts会使所有用户退出登录
• FTP和SSH的密码与密钥，以及在服务器上登记的任何公钥
• 保存在服务器上的备份文件（如数据库导出文件）：其中的凭据和个人数据也应视为已被读取

请使用已通过杀毒软件扫描的电脑进行更改。关于配置文件的存放位置，请参阅在共享主机上将.env置于公共网页之外；关于API密钥的处理，请参阅.env与API密钥基础。

公司表示已于9月18日删除了恶意程序。尽管如此，仍建议您自行检查网站中是否残留您未做过的更改。入侵始于9月3日，因此请重点关注此后的变动。

• 在文件管理器中按修改日期对公共文件夹排序，查找在您未操作的日期被修改的文件，或图片文件夹中的PHP文件
• 在WordPress用户列表中，查找您未创建的管理员，以及您未安装的插件或主题
• 在控制面板的计划任务（cron）中，查找您未添加的条目

关于各类环境下应在何处、按何种顺序检查，请参阅如何检查您的网站或服务器是否被入侵。如果发现不明内容，请先复制保存再删除，并联系公司。如果您的网站保存了他人的个人数据，例如联系表单提交内容或会员记录，也请阅读该文中关于个人数据可能泄露时的部分。

据公司称，会员、合同和支付数据在与受影响服务器分开的环境中管理，且未发生泄露。这是一个通用原则的例子：将信息分开存放，可以缩小某一部分被入侵后的影响范围。

您也可以在自己的网站上这样做。不要将数据库导出文件或旧备份留在Web服务器区域中，为API密钥只授予所需的权限，并将配置文件保存在公共文件夹之外。检查方法请参阅您是否在公共目录中留下了机密文件？

按已公开的日期计算，从入侵开始（9月3日）到发现（9月16日）共13天。这只是两个日期之间的差距，并不能据此判断发现是否迟缓。不过，当服务商一侧发生问题时，您能否注意到自己网站上的变化，取决于您事先做了哪些准备。

一个简单的第一步：每周导出一次WordPress管理员用户列表和公共文件夹中的PHP文件列表，并与上周的结果进行比较。任何新增内容都是开始检查的理由。关于WordPress的整体加固，请参阅WordPress安全：生产环境加固参考。

在本次事件中，确认自己是否受影响的方式是发送到合同登记邮箱的单独邮件。如果该邮箱仍是网站代理商的地址，或是您已不再使用的地址，您可能会错过通知。请趁一切正常时现在就检查：登记的邮箱是您会阅读的邮箱，并且服务商的邮件不会被归入垃圾邮件。