ConoHa WING（GMO Internet）部分網頁伺服器遭未經授權存取（426 個帳號）：客戶網頁伺服器區域的資料受影響，網站擁有者今天應該做什麼

公司表示，已透過「契約資訊中登記的電子郵件信箱」個別聯繫受影響的客戶，且未被聯繫的客戶不受影響。

除了收件匣，也請檢查垃圾郵件資料夾。若是網站製作公司代您簽約，或您登記的是舊信箱，郵件應會寄到那裡。請透過您自行開啟的官方網站登入，查看登記的是哪個信箱，或聯絡通知中的窗口（列於下方「發生了什麼事」一節）。

公司提醒注意利用此事件的釣魚郵件，並表示公司從不會透過電子郵件向客戶索取密碼或信用卡資料。公司也請客戶在依據個別通知採取行動前，先確認寄件者與內容。

主機發生事件後，偽造郵件很可能出現，內容可能是（以下為我們的範例）「您的帳號已受影響，必須重設」或「請確認您的契約」，並導向仿冒登入畫面的頁面。請不要透過郵件中的連結登入；請從書籤或自行搜尋開啟官方網站（參見什麼是釣魚）。

公司表示，已透過個別郵件向受影響的客戶寄送詳細內容與「希望您採取的行動」。該內容並未公開，因此本文無法重述。在採取行動前，請依第 2 步確認郵件為真：透過官方網站核對，而非點擊郵件中的連結。

相關資料為「客戶網頁伺服器區域中儲存的資料」。通知未說明是否遭取走，但本站建議將其視為可能已被讀取或竄改。相較於讓憑證處於不明狀態，更換憑證在耗費的心力與風險上都較低。

• WordPress 的 wp-config.php 中的資料庫使用者名稱與密碼（更改資料庫密碼後，請在 wp-config.php 中填入相同的值）
• .env 等檔案中的外部服務 API 金鑰（付款、郵件寄送、地圖等）：請在各服務的管理後台重新發行，並停用舊金鑰
• WordPress 管理員密碼，以及 wp-config.php 中的密鑰（salts）；重新產生 salts 會使所有使用者登出
• FTP 與 SSH 的密碼與金鑰，以及伺服器上登錄的任何公開金鑰
• 保存在伺服器上的備份檔（例如資料庫匯出檔）：其中的憑證與個人資料同樣視為已被讀取

請使用已通過防毒軟體掃描的電腦進行變更。若要重新考量設定檔的存放位置，請參見在共享主機上讓 .env 脫離公開網頁；關於 API 金鑰的處理，請參見.env 與 API 金鑰基礎。

公司表示已於 9 月 18 日移除惡意程式。即便如此，仍值得自行確認您的網站中沒有殘留您未曾做過的變更。存取始於 9 月 3 日，因此請著重檢查此後的變更。

• 在檔案管理員中，依修改日期排序公開資料夾，尋找您未曾操作過日期的檔案，或圖片資料夾內的 PHP 檔案
• 在 WordPress 的使用者列表中，尋找您未建立的管理員，以及您未安裝的外掛或主題
• 在控制面板的排程工作（cron）中，尋找您未新增的項目

關於依環境區分的檢查位置與順序，請參見如何檢查網站或伺服器是否遭入侵。若發現不明項目，請在刪除前先備份，並與公司聯絡。若您的網站保存了他人的個人資料，例如聯絡表單內容或會員紀錄，也請閱讀該文中有關個人資料可能外洩的段落。

依公司說法，會員、契約與付款資料是在與受影響伺服器分開的環境中管理，並未外洩。這是一個通用概念的例子：將資料放在不同的地方，可以縮小單一部分遭入侵時的影響範圍。

您也可以在自己的網站上做同樣的事。不要把資料庫匯出檔或舊備份留在網頁伺服器區域中，發行 API 金鑰時只授予所需的權限，並將設定檔放在公開資料夾之外。檢查方式請參見您是否把機密檔案留在公開目錄中？

依已公開的日期，從存取開始（9 月 3 日）到偵測（9 月 16 日）之間經過了 13 天。這是兩個日期之間的差距，並不代表偵測速度是否緩慢的判斷。不過，當業者端發生事件時，您能否察覺自己網站的變化，取決於您是否已建立相應的機制。

一個簡單的第一步：每週匯出 WordPress 管理員使用者清單，以及公開資料夾中的 PHP 檔案清單，並與上一週比對。任何新增的項目都是開始調查的理由。若要全面強化 WordPress，請參見WordPress 安全：正式環境強化參考。

在本事件中，得知自己是否受影響的方式，是寄到契約登記信箱的個別郵件。如果該信箱仍是網站製作公司的信箱，或是您已不再使用的信箱，您就可能錯過通知。請趁現在一切正常時確認：登記的信箱是您會閱讀的，且業者的郵件不會被歸入垃圾郵件。