「ホームページは使っていないから大丈夫」ではありません。その放置が会社のメールを止めるかもしれません
放置したホームページが、知らない間に会社の信用を脅かす？
「ホームページは昔作ったままで、今はほとんど使っていない」
「会社のメールさえ使えれば問題ない」
「ホームページには重要な情報もないから、セキュリティ対策は必要ない」
このように考えている企業は、決して少なくないのではないでしょうか。
しかし、ほとんど使っていないホームページが原因で、普段使っている会社のメールや取引先との業務にまで影響が及ぶ可能性があることをご存じでしょうか。
ホームページを更新していなくても、インターネット上に公開されている限り、外部からアクセスできる状態にあります。
そして、そのホームページが攻撃者に悪用された場合、被害はホームページだけで終わるとは限りません。
誰も見ていないホームページでも、攻撃者には関係ありません
企業のホームページへの攻撃は、必ずしも特定の会社を狙って行われるわけではありません。
インターネット上のWebサイトを自動的に調査し、古いシステムや脆弱性のあるプログラムを探している攻撃もあります。
例えば、何年も更新していないWordPress、古いPHP、放置されたプラグインなどです。
攻撃者にとって重要なのは、そのホームページが有名かどうかではなく、侵入できる弱点が残されているかどうかです。
会社案内と問い合わせフォームしかない、小さなホームページであっても例外ではありません。
ホームページが乗っ取られると、何が起こるのか？
ホームページには顧客情報も会員情報も保存していない。
だから、仮に侵入されても盗まれるものはない。
そう考える方もいるかもしれません。
しかし、攻撃者の目的は情報を盗むことだけではありません。
Webサーバーに侵入して不正なPHPプログラムなどを設置し、そのサーバーを別の攻撃に利用する場合があります。
- 迷惑メールの大量送信
- 偽のログインページの設置
- フィッシングサイトへの誘導
- 他のWebサイトへの攻撃
つまり、自社のホームページやサーバーが、知らない間に他人を攻撃するための道具にされる可能性があるのです。
しかも、通常どおりホームページが表示されている場合、管理者が異常に気づかないこともあります。
「メールサーバーは別だから関係ない」は本当でしょうか？
ホームページとメールを別々のサーバーで運用している企業もあります。
この場合、Webサーバーが侵害されたからといって、直ちにメールサーバーまで乗っ取られるわけではありません。
しかし、それだけで安心できるとは限りません。
例えば、会社のホームページが example.co.jp、 メールアドレスが info@example.co.jp だったとします。
Webサーバーとメールサーバーが別でも、会社として利用するドメインは共通しています。
侵害されたホームページがフィッシングに利用されたり、不正なメール送信に悪用されたりすると、状況によってはドメインや送信元IPアドレスの評価に影響する可能性があります。
メールサービスでは、迷惑メールやフィッシングへの対策として、送信元のIPアドレスやドメインの評価などを確認しています。
その結果、これまで正常に送れていた業務メールが、迷惑メールとして扱われたり、相手に届かなくなったりする場合があります。
なお、Webサイトの侵害だけで必ずメールの評価が下がるわけではありません。実際の影響は、メールの送信経路や不正利用の状況によって異なります。
取引先にメールが届かない。それだけで業務は止まります
会社のメールが正常に届かなくなったら、どうなるでしょうか。
- 見積書を送ったのに相手が受信していない
- 発注メールや請求書が届かない
- 取引先から「メールが来ていない」と連絡が入る
- 重要な契約や納期の確認ができない
こうした問題が起これば、ホームページをほとんど使っていない企業でも、日常業務に直接影響します。
特に、取引先がMicrosoft 365やGmailなどを利用している場合、送信元の評価や認証状態によってメールが拒否されたり、迷惑メールに分類されたりすることがあります。
自社のメールソフトには「送信済み」と表示されていても、それだけで相手の受信トレイに届いたことが保証されるわけではありません。
さらに、メールによる本人確認や承認を利用する業務システムでは、必要な通知が届かなくなることで、手続きに支障が出る可能性もあります。
ブラックリストに登録されると、復旧も簡単ではありません
不正なメール送信などによって、送信元IPアドレスやドメインの評価が悪化すると、ブラックリストへの登録やメールサービス側のブロックが発生する場合があります。
問題は、原因となった不正プログラムを削除すれば、すべて元どおりになるとは限らないことです。
複数のサービスで評価が低下していれば、それぞれの解除手続きや評価の回復を待つ必要が生じることもあります。
ホームページの復旧は終わっているのに、会社のメールはまだ正常に届かない。
そんな状況になれば、業務への影響が長引くおそれがあります。
被害を受けるのは、自社だけではありません
侵害されたホームページがフィッシングサイトとして利用された場合、取引先や顧客が被害に遭う可能性もあります。
また、正規の企業ドメインを利用した偽サイトは、まったく知らないドメインのサイトよりも信用されてしまうおそれがあります。
自社のサーバーが他社への攻撃に利用されれば、被害の調査や取引先への説明が必要になることも考えられます。
「うちには盗まれて困るような情報はない」
そう考えていても、問題はそれだけではありません。
自社のサーバーが、取引先や顧客に被害を与える入口になってしまう可能性があるということです。
ホームページを更新しなくても、セキュリティ管理は必要です
会社のホームページを頻繁に更新する必要は、必ずしもありません。
数年間、会社概要や事業内容が変わらない企業もあるでしょう。
しかし、ホームページの内容を更新する必要がないことと、システムの保守が必要ないことは別の問題です。
WordPressなどのCMS、PHP、プラグインには、セキュリティ上の問題が発見されることがあります。
そのまま放置していれば、公開当時は安全だったサイトでも、時間の経過とともに危険な状態になる可能性があります。
少なくとも、現在どのようなシステムで動いているのか、古いソフトウェアや危険な設定が残っていないかを確認しておくことが大切です。
まずは、自社のホームページの状態を知ることから
セキュリティ対策と聞くと、高額なシステムの導入や専門的な管理が必要だと感じるかもしれません。
しかし、一般的な企業ホームページであれば、まずは現在の状態を確認し、問題のある箇所から対策していくことができます。
GUARD SAGASでは、ホームページのURLを入力することで、外部から確認できるセキュリティ上の問題や危険な設定などを診断できます。
もちろん、外部からの診断だけですべての脆弱性や不正アクセスを発見できるわけではありません。
それでも、放置していたホームページの状態を見直すきっかけにはなります。
「ホームページは使っていないから大丈夫」ではなく、「使っていなくても公開している以上、管理が必要」。
会社のメールや取引先との大切な業務を守るためにも、一度、自社のホームページの安全性を確認してみてはいかがでしょうか。