先週の大きなセキュリティ関連のニュースといえば、レンタルサーバの有力会社の１つロリポップが、大規模なWordPress改ざんを行われたことです。
当社サービス「ロリポップ！レンタルサーバー」ユーザーサイトへの第三者による大規模攻撃について / 新着情報 / お知らせ – レンタルサーバーならロリポップ！
手口としては、WordPressのプラグインやテーマの脆弱性を利用してwp-config.phpの設定情報が抜き出され、DBを書き換えられ、さらにサーバー上の設定ミスによって横展開で複数のユーザーがやられてしまったようです。
最終的に8,438件が攻撃を受けた、と書いてありますね。
実は私も、このロリポップの事件が起きる数日前に、「WordPress、かなり狙われているな」という感じを受けていたので、私のところでサーバ管理をお預かりしている会社様のセキュリティ強化を実施したところでした。
ただ、私が実施したものも、脆弱性をなくしたり、一般的なブルートフォース攻撃なようなものには対処できますが、今回のロリポップのような攻撃の場合には、なかなか利用者側では対処できないのが現実です。
最悪、サーバに侵入されて完全にデータを消されても、きちんとバックアップを取っておいて、正常な状態に戻せる体制を整えるなど、復旧対策を大企業だけでなく中小企業でも行うべきかと思います。
（・・・が、現実問題難しいかもしれないな、とも感じます。）