見覚えのない管理者アカウントや設定変更、不審なログイン通知、Webサイトの改ざんが見つかった場合は、外部から不正にアクセスされた可能性があります。
早く元の状態へ戻そうとしてデータを消去すると、侵入経路や影響範囲を調べるための情報まで失われることがあります。設定を変更したり初期化したりする前に、発見時の状態を記録してください。
発見時の状態を記録してください
画面の表示と管理画面のログは、できるだけ元の状態を保ったまま保存します。社内の責任者や保守事業者へ連絡する際には、次の情報があると状況を伝えやすくなります。
- 異常を発見した日時、発見者、対象のシステム
- 不審なIPアドレス、ログイン履歴、権限や設定の変更
- 改ざんされたURL、ファイル名、表示画面の画像
- クラウド事業者や保守事業者へ連絡した内容と時刻
- 影響する可能性がある個人データや取引先情報
公開サイトが改ざんされた場合は、Webサイトの管理画面だけでなく、サーバー、DNS、CDN、委託先の環境が関係している可能性もあります。目に見える表示の変化と、管理者権限や設定の変更履歴を分けて確認してください。
認証情報と外部連携も確認してください
パスワードを変更する場合は、同時にログイン中のセッション、管理者権限、APIキー、連携アプリ、多要素認証の設定も確認してください。古いソフトウェアの脆弱性や過剰な権限が侵入経路になっている場合、パスワードの変更だけでは再侵入を防げません。
サービスを停止したり認証情報を変更したりすると、調査に影響することがあります。緊急性を確認したうえで、社内の担当者や保守事業者と対応の順番を決めてください。
個人データへの影響を確認してください
個人データが漏えいした、または漏えいしたおそれがある場合は、個人情報保護委員会への報告や本人への通知が必要になることがあります。関係するデータの内容、不正利用のおそれ、対象となる人数を確認し、社内の個人情報保護・法務担当者と最新の公的資料に沿って判断してください。
安全を確認してから復旧してください
復旧前には、OS、CMS、プラグイン、ネットワーク機器の更新状況を確認してください。不要な管理者アカウントや過剰な権限を見直し、多要素認証を設定します。バックアップを利用する場合も、侵入前の安全なデータか、復旧後に同じ問題が再発しないかを確認してから接続してください。
復旧後も、しばらくは不審なログインや設定変更がないか監視を続けます。必要なログを一定期間保存できるよう、保存期間や監視方法も見直してください。