思わぬところに穴が…。
世界中の政治家や経済人、著名スポーツ選手など、いわゆる｢世界トップの大金持ち｣たちがタックスヘイブンで資産を隠しているのではないかという疑惑が浮上した、パナマ文書問題。その真相をめぐり、いまだ世界を揺るがし続けています。
その情報の流出元については、内部の何者かによるリーク（漏洩）説と、｢リークではなくハック｣だという説が囁かれています。真相はまだ不明ながら、もしハックだとしたら、Wordpressのプラグインが原因である可能性が浮上しました。
そのプラグインの名は｢Revolution Slider｣。以前、Slider Revolutionというプラグインを狙ったロシアのマルウェアがありましたが、それと同様、サイトの中に簡単にスライドのエフェクトを導入できるものです。
指摘をしたのは、WordfenceというWordpressのセキュリティを専門とする企業。ブログ記事によると、情報が漏洩した法律事務所Mossack FonsecaのウェブサイトはWordpressで構築されており、Revolution Sliderの古いバージョンを使用していたとのこと。
それにより、ファイルのアップロードやサーバーへのスクリプト攻撃が、誰でも容易にできる状態にあったとのことで、Wordfenceではその手法についてビデオでも解説しています。
｢実際に何が行なわれたのかは不明です。しかし、WordpressなどのCMSは常に激しい攻撃に晒されています｣と語るのは、インターネットセキュリティの専門メディアMalwarebytesのJérôme Segura氏。同氏はまた、｢サードパーティ製のプラグインを多く使えば使うほど、安全を確保するのは難しくなります｣とも語っています。
前述のWordfenceによると、Mossack Fonsecaはメールサーバーもウェブと同じサーバーで管理しており、Revolution Sliderの脆弱性を突き、悪意のあるスクリプトをサーバー上にアップロードすることで、簡単に情報を抜き出せる状態にあったとのこと。さらには、ファイヤーウォールなど基本的な対応も行なわれておらず、セキュリティ対策の面ではなんともお粗末な管理だったことが判明しました。
ワイアードはさらに、Mossack Fonsecaのウェブサイトのログイン機能が3年間も放置状態にあり、ユーザに対する定期的なパスワード変更を促すこともなかったことを指摘。バックエンドとして利用しているCMSのDrupalも3年以上前の穴だらけのバージョンを利用していたとのこと。Microsoft Outlookのログイン機能も、2009年から変えていなかったそうです。
米Gizmodoは、本件についてMossack Fonsecaに取材を行ないましたが、いまだ回答は得られていません。ウェブサイトにおけるセキュリティ対策の重要性を思い知らされる内容ですね。
Bryan Menegus - Gizmodo US［原文］
（渡邊徹則）
