【ITニュース解説】DreamHost breach: attackers had two months inside File Manager

DreamHostというウェブホスティングサービスで深刻な情報漏洩が発生した。この件は、システムエンジニアを目指す皆さんにとって、ウェブサービスを運用する上でセキュリティがいかに重要か、そしてユーザー自身が取るべき対策とは何かを深く理解するための貴重な事例となる。

まず、DreamHostとは何か。これは、ウェブサイトをインターネット上に公開するために必要なサーバーのスペースを提供する「レンタルサーバー」と呼ばれるサービスの一つである。企業や個人が自分のウェブサイトやブログ、オンラインストアなどを運営する際、通常はこのようなレンタルサーバーを契約し、そこにウェブサイトのデータ（HTMLファイル、画像、プログラムなど）を保存する。

今回の漏洩の中心となったのは、「File Manager」というツールだった。File Managerは、レンタルサーバー上に保存されているウェブサイトのファイルを、ウェブブラウザを通じて直接管理できる便利な機能である。例えば、新しいページを追加したり、画像をアップロードしたり、不要なファイルを削除したりする際に使う。FTP（File Transfer Protocol）やSFTP（SSH File Transfer Protocol）といった専門のツールを使わなくても、ウェブブラウザがあれば手軽にファイルの操作ができるため、多くの利用者に重宝されている。

このFile Managerに、攻撃者が約2ヶ月間も不正に侵入していたことが判明した。具体的には、2023年8月から10月23日までの長期間にわたり、攻撃者は内部で活動を続けていたのである。これほど長い間、外部に気づかれることなくシステム内に潜伏し続けられたことは、被害を甚大にする可能性を高める。

攻撃者がFile Managerを通じて盗み出した情報は主に二種類ある。一つは「FTP/SFTPログイン情報」であり、もう一つは「一部のWebメールセッショントークン」である。

FTPやSFTPのログイン情報とは、ウェブサイトのファイルをサーバーにアップロードしたり、サーバーからダウンロードしたりする際に使用するユーザー名とパスワードのことである。これが攻撃者の手に渡ると、彼らは正規のユーザーになりすまして、ウェブサイトのファイルを自由に操作できてしまう。例えば、ウェブサイトを改ざんして不正な情報を表示させたり、悪意のあるプログラムを埋め込んだりすることが可能になる。これにより、ウェブサイトの訪問者にマルウェア（悪意のあるソフトウェア）を感染させたり、個人情報を盗み取ったりといった二次被害が発生する恐れがある。

さらに危険なのが、盗まれた「Webメールセッショントークン」である。セッショントークンとは、ユーザーがウェブサイトやサービスに一度ログインした後、「あなたはもう認証済みです」という状態を維持するために発行される、一時的な「通行手形」のようなものである。通常、ウェブメールなどのサービスにログインすると、サーバーはユーザーのブラウザにセッショントークンを発行し、以降はそのトークンを提示することで、パスワードを再度入力することなくサービスを利用できるようになる。これはユーザーの利便性を高めるための仕組みだが、このトークンが盗まれると、攻撃者はパスワードを知らなくても、正規のユーザーになりすましてメールボックスに直接アクセスできてしまう。つまり、ログイン画面でパスワードを入力することなく、メールの閲覧や送信、アカウント設定の変更などが可能になるのである。これにより、メールの内容が盗み見られたり、メールアカウントを乗っ取られて詐欺行為に利用されたりする危険性がある。

攻撃者がこれほど長期間にわたってシステム内部にアクセスしていたことは、非常に深刻な事態である。2ヶ月という期間があれば、攻撃者はサーバー内の情報を詳細に調べ上げ、より多くの情報を盗んだり、将来的に再侵入するための「裏口」を仕掛けたりする機会があったかもしれない。このような長期間の侵入は、システムの監視体制に課題があったことを示唆しており、セキュリティ対策の継続的な見直しが重要であることを浮き彫りにする。

このような状況を受けて、DreamHost利用者、特にシステムエンジニアを目指す皆さんが取るべき具体的な対策がいくつか推奨されている。

まず、FTP、SFTP、そしてメールのパスワードを直ちにリセットすることである。パスワードが漏洩した可能性がある以上、これまでのパスワードを使い続けることは非常に危険である。複雑で推測されにくい、他のサービスでは使用していない新しいパスワードに更新することが必須である。

次に、自身のウェブサイトに、身に覚えのないファイルが置かれていないか確認することである。攻撃者がウェブサイトを改ざんして、不正なプログラムやフィッシングサイトへの誘導コードなどを仕込んでいる可能性がある。定期的にウェブサイトのファイル構成をチェックし、不審なファイルや変更がないかを確認する習慣を身につけることが重要である。

また、可能であれば「MFA（多要素認証）」、つまり二段階認証や多段階認証を有効にすることである。MFAとは、パスワードだけでなく、スマートフォンアプリで生成されるワンタイムパスワードや生体認証など、複数の異なる要素を組み合わせて本人確認を行う仕組みである。仮にパスワードが漏洩しても、もう一つの認証要素がなければログインできないため、不正アクセスに対するセキュリティを格段に強化できる。DreamHostや関連サービスでMFAが提供されている場合は、必ず設定すべきである。

さらに、ウェブホスティングサービスが提供するバックアップ機能に依存するだけでなく、利用者自身でも定期的にウェブサイトのデータやデータベースのバックアップを取っておくことが強く推奨される。レンタルサーバーは通常、データのバックアップを行っているが、万が一の事態に備え、自分で管理するバックアップがあれば、最悪の場合でもウェブサイトを復旧できる。これは、システムを運用する上でのリスク分散の基本である。

最後に、自身のウェブサイトやサーバーの「ログ」を定期的に確認する習慣を身につけることである。ログとは、サーバーへのアクセス履歴やエラー情報など、システムが生成する記録のことである。これらのログを監視することで、不審なログイン試行やファイルへの異常なアクセス、エラーの頻発など、攻撃の兆候を早期に発見できる可能性がある。システムエンジニアにとって、ログの分析能力は非常に重要なスキルである。

今回のDreamHostの事例は、たとえ「マネージドホスト」、つまりサーバーの管理をサービス提供者に任せる形式であっても、ユーザー側が無関心でいて良いわけではないという教訓を与えている。システム運用者は、サービスの裏側で何が起こっているかに関心を持ち、自身の情報資産を守るための意識と行動が常に求められる。セキュリティは一度対策すれば終わりではなく、常に変化する脅威に対応し続けるプロセスである。システムエンジニアを目指す皆さんは、このニュースを単なる情報漏洩事件として捉えるのではなく、自身の将来のキャリアにおいて不可欠なセキュリティ知識と実践力を高めるための機会として捉え、深く学び考えてほしい。