WEBに謎のフィッシング詐欺メールが来ました（以下実際の詐欺メール）
PLEASE FORWARD THiS EMAiL TO SOMEONE iN YOUR COMPANY WHO iS ALLOWED TO MAKE iMPORTANT DECISIONS!We have hacked your webste 「URL」 and extracted your databases.
How did this happen?Our team has found a vulnerabilty wthn your site that we were able to exploit. After findng the vulnerability we were able to get your database credentials and extract your entire database and move the information to an offshore server. What does this mean?We will systematcally go through a seres of steps of totally damaging your reputation. First your database will be leaked or sold to the highest bidder which they will use with whatever their intentions are. Next if there are e-mails found they will be e-ma?led that their information has been sold or leaked and your site 「URL」 was at fault thusly damaging your reputation and having angry customers/associates with whatever angry customers/associates do. Lastly any links that you have indexed in the search engines will be de-indexed based off of blackhat techniques that we used in the past to de-index our targets. How do i stop thisi We are willing to refrain from destroying your site’s reputation for a small fee. The current fee is $3000 ?n bitcoins (BTC). Please send the bitcoin to the following Bitcoin address (Make sure to copy and paste): Once you have paid we will automatically get informed that it was your payment. Please note that you have to make payment within 5 days after receiving this e-mail or the database leak, e-mails dispatched, and de-index of your site WiLL start!How do i get Bitcoins? You can easily buy bitcoins via several websites or even offline from a Bitcoin-ATM. What if i don’t pay? if you decide not to pay, we will start the attack at the indicated date and uphold it until you do, there’s no counter measure to this, you will only end up wasting more money trying to find a solution. We will completely destroy your reputation amongst google and your customers. This is not a hoax, do not reply to this email, don’t try to reason or negotiate, we will not read any replies. Once you have paid we will stop what we were doing and you will never hear from us again!Please note that Bitcoin is anonymous and no one will find out that you have complied.
以下、日本語に直した文章（意訳あり）
まずこのメールを、裁量権のある者へ転送してください。
早速ですが、我々はあなたのウェブサイト 「○○○○（サイト名）」をハッキングし、データベースを抽出いたしました。
なぜこんな事態になったと思います？
それは我々のチームがあなたのサイトにある脆弱性を見つけ、悪用できたからです。
さらに、その脆弱性を発見し、データベースの認証情報を取得して、データベース全体を抽出して取得した情報をオフショアサーバーに移動させました。
そして今、我々はあなたの評判を完全に失墜させるための作業を行っている最中です。
まず最初は、あなたのデータベースが「流出」や「業者に売られる」ことで、その情報が様々な方法で悪用されると思ってください。
また情報の販売や漏洩が発覚し、「会社の評判に悪影響が出た」と怒っている顧客や上司へ、闇業者から電子メールが届くかもしれません。
極めつけは、あなたが検索エンジンにインデックスしている任意のlnksを、ブラックハットという技術で、オフデインデックスさせてみせます。
さてここから本題ですが、こうした行為を止めるにはどうすればいいと思います？
それは少額の費用を払うことです。
今、我々が要求する額は3000ドル（約43万円）相当のビットコイン（BTC）です。
まず以下のビットコインアドレスに送金してください（必ずコピー＆ペーストしてください）。
その後、我々に送金されたことが通知されます。
もしこのメールを受け取ったのにも関わらず5日以内に支払いが行われない場合、データベースの流出に始まり、メールの誤送信やインデックスの削除を実行します。
あぁ、肝心なビットコインの入手方法について疑問に思ってるでしょう？
方法としては複数のウェブサイトや、オフラインのBTCOIN-ATMで購入することができますよ。
ただ、支払う意思がないなら指定された日付に攻撃を始めて、支払いたくなるまで継続しますけどね。
そして私たちは、あなたに対するGoogleや顧客からの評判を完全に失墜させてみせましょう。
あと、このメールには返信しないでください。
屁理屈をこねたり、無駄な交渉もしないでくださいね。
送金があった時点で、私たちは活動を停止し、それ以降は二度と連絡することはありません。
結局、ブログの情報は悪用されなかった
WEBにメールが送られてから5日以上経過しましたが、サイトが勝手に改変されたり、自分のGoogle mailが悪用された形跡は特に見つかっていないので、単なるフィッシング詐欺のメールだったということでしょう。
一応、気になったのでインターネットで調べて見たところ、同じ詐欺メールが届いたという記事を１件だけ見つけることができました。
その方のブログでも実際にハッカーの被害にあったわけではないので、今回のような詐欺メールが来ても無視するという対応で問題はないと思います。
また、調べて分かったのは、今回のようなWEBの「お問い合わせ」から連絡してくるタイプの詐欺メールは珍しいようで、検索してもヒットするのはスマートフォン等に送られる詐欺メールについての記事がほとんどでした。
と言っても近年、個人のスマートフォンに「あなたのスマホデータを悪用されたくなければ、金を払え」というような趣旨の迷惑メールが増加傾向にあるため、ブログやウェブサイトを利用していなくても注意が必要です。
実際、大阪府警察署はウェブサイト、「仮想通貨を要求するメールに注意!」と題して警告を発しています。
正直、迷惑メール自体は珍しいものでは無いですが、今回のように英文で送ってくるメールや突然横文字を並べ立てられては恐怖を感じる人がいてもしょうがないです。
最近はパソコンのOSやブログサーバー側もセキュリティー対策をしているので、よほどのことが無ければ乗っ取られたりすること無いでしょう。
（凄腕のクラッカーやハッカーに目を付けられたら個人で防ぐのは不可能なので、災難としか言えませんね）
ただし今回紹介したような迷惑メールの内容が事実だった場合に備えて、セキュリティ対策として以下のようなことも意識しておくことが、やはり大切となります。
- 『ノートンセキュリティ』等の無料/有料セキュリティーソフトを購入する（Windows Defenderでも問題なし）
- 頻繁にパソコンのアップデートを行い、最新の状態に保つ
- WEBのサーバー側でセキュリティ対策をする
- WordPress側で無料プラグインなどを導入してセキュリティーを強化する
これらのことを正しく行えば、基本的な問題は無いです。
ちなみに私がWordpressで利用している「エックスサーバー」は、Wordpressの簡単にインストールできるサポートが付いており、さらに他のサーバーと比べても安い料金で多くのアクセスに耐えられだけでなく、国外IPアドレスからのアクセスを制限することで、不正なログインやDDoS攻撃の踏み台になることを防ぎ、WordPressサイトのセキュリティを向上させることもできます。
WordPressでは、不正ログインをされてしまい、勝手に投稿内容などが改ざんされるなどの被害で、サイトを見に来たユーザーに被害を与えることのないように、セキュリティ対策を含めてコスパの良いエックスサーバーなどを利用するのがオススメです。
一応、「WordPressを使い始めたばかりで、どのようなセキュリティーのプラグインを入れたら良いのか分からない」という方の為に、個人的にも利用している4種類の無料プラグインを紹介させて頂きます。
他のサイトなどを見ると、かなり有名なセキュリティープラグインも紹介さているケースが多いため、先にそちらのサイトで必要なプラグインを導入してから、このサイトでプラスαとして追加のプラグインの導入も検討してみてはいかがでしょうかね？
User Login History
User Login HistoryはWordPressのログイン履歴を以下の15種類の項目で管理/表示できるプラグインです。
誰がいつどこからどのIPでどのブラウザでアクセスしているのかが分かります。
ユーザーのログイン管理がしやすくなるだけでなく、不正アクセスがどこからが多いのかも把握できるので、セキュリティ対策が必要なサイトも判明するなど多岐にわたり、非常に優秀なプラグインとなっています。
- User ID： ユーザーID
- Username： ユーザー名
- Current Role： ユーザーの権限
- Old Role： 過去のユーザーの権限
- IP Address： IPアドレス
- Country： 国名
- Browser： ブラウザ（Internet Explorer等）
- Operating System： ログイン元のOS（Windows等
- Timezone： タイムゾーン
- User Agent： 接続機器(PC,スマホなど)
- Duration： ログイン後の滞在時間
- Last Seen： 最後にアクセスした時間
- Login： ログイン日時
- Logout： ログアウト日時
- Login Status： ログインステータス
具体的な使い方は、他のブログに書かれているのでそちらを参照してください。
SiteGuard WP Plugin
WordPress でブログやサイトを利用する際に、効果のあるセキュリティ対策としてログインページの URLを変更してしまうことです。
一般的なセキュリティー対策として、ログインを2段階認証を行う人は多いでしょう。
しかしセキュリティ対策を最大限に活かす上でも、「ログインページの URLを変更する」は必須です。
ログインページへの対策が無い場合、WordPress サイト URL の最後の方に「wp-admin」と書き込めば誰でも簡単にログインページへアクセスが可能となってしまいます。
ここでログインページへアクセスするためのURL 変更することで、ハッカーによる侵入を防止する効果が生まれます。
もちろん、他の脆弱性などを利用されれば侵入を許してしまいますが、「ログインページから簡単にパスワードを破られて侵入される」という事態は未然に防ぐことができます。
（ちなみに私は既にパスワードが変更されているので、仮に侵入しようとするとプラグインに弾かれて、IPアドレスがログとして記録される上に、必要であれば警察などに情報開示もできるので、「wp-admin」と入力して、試さないが得策です）
もしプラグインを設定した後に、ログアウトしてログインが出来なくなった場合には、こちらのサイトで詳しく解説されているので、プラグインを入れる前でも後でも一読しておくと、SiteGuard WP Pluginをより有効に活用できるでしょう。
一応、便利なSiteGuard WP Pluginですが、予め使う上での注意点を以下に記しておきましょう。
- SiteGuard WP Plugin が稼働すると元のログイン URL は利用できなくなる
- SiteGuard WP Plugin を停止させると元のログイン URL も使えるようになってしまう
- SiteGuard WP Plugin をアンイストールすると元のログイン URL に戻る
- アンイストールすると作成されたログイン.php も一緒に自動で削除される
When Last Login
WordPressのログイン＆ログアウトした全てのユーザーをユーザー一覧に表示するプラグインで、ユーザーごとに日時、IPなども表示できるので複数人でのサイト運営で管理がしやすくなります。
また特に難しい設定はなく以下の2つの項目を確認してチェックを入れるだけです。
- Record user’s IP address： ユーザーのIPアドレスの表示の有無
- Enable “All Login Records”： 全てのユーザーのログインを記録
ログイン日時を表示するプラグインは数多くありますが、プラグインによって大きな性能の差は無いので設定の項目が少ないシンプルなものが一番です。
WP-Ban
そもそも論、ハッカーによる侵入だけでなくブログの運営をする上で「アクセス数」は大事なポイントです。
しかし、そのアクセスがスパムによって増えているならGoogleに、「高品質な記事」として検索の上位に選んではもらえません。
そのため、低評価に繋がる不正アクセスやスパムメールはしっかりと対策しなければいけないのです。
そこで紹介するがWP-Banというプラグインで、インストールすると以下の8つの設定が可能となります
- Banned IPs:アクセスを拒否したいIPアドレスを入力します。
- Banned IP Range:
- Banned Host Names:
- Banned Referers:アクセスを拒否したいURLを入力します。
- Banned User Agents:
- Banned Exclude IPs:
- Banned Message:
- Ban Stats
この中から実際に使うのは「Banned IPs:」と「Banned Referers:」だけです。
他の設定は必要に応じて設定を行うようにします。
終わりに
今回は特に実害はありませんでしたが、普段からセキュリティーを定期的にチェックしたり、詐欺メールが届いた際には、ネットで同じようなメールを受け取った人が他にいないのか検索するクセをつけて、情報や金を詐欺犯やハッカーたちに渡さないよう注意しなければならないと改めて考えさせられました。