ニュース
日本のブログツール「Web Diary Professional」が標的に、改ざん多発
（2014/6/12 19:28）
Kasperskyは12日、日本で広く使われているブログツール「Web Diary Professional（WDP）」に潜在する問題を悪用したサイトの改ざんが多発しているとして、注意を促した。
WDPは、マニュアルやユーザーインターフェイスが日本語で用意されているため、日本で広く使われているが、現在はすでにサポートが終了しており、開発者は別のツールへの移行を推奨している。しかし、新しいツールに移行せず、サポート終了となったWDPを使っているサイト管理者が少なからず存在し、攻撃の格好のターゲットとなっているという。
Kasperskyの調査では、WDPを使用している可能性がある特定のキーワードでGoogle検索してみたところ、2014年4月の時点で約50万件がヒットし、検索結果上位のサイトを確認した限りではほとんどがWDPを使用しており、重複もわずかだった。
また、これらのサイトのうち約8割が、ユーザー認証に使用するパスワードのハッシュなどを記載したファイルが外部から閲覧可能な状態となっていたという。設定されているパスワードが簡単なものであった場合、このファイル内の情報はパスワードクラックツールによって短時間で解読されてしまい、管理者パスワードが判明すればサイトは自由に編集可能となってしまう。
実際に、改ざん被害に遭っているウェブサイトも見つかっており、こうしたサイトではコンテンツの改ざんのほか、攻撃者のメッセージを示すファイルや、スパムメール送信用ツール、DDoSツール、バックドアなどが設置されていたという。
確認できた中で最悪のケースとしては、1つのサーバーで数百のウェブサイトが設置・運営されており、その中のあるウェブサイトにバックドアが設置されていた事例を紹介。このバックドアを使えば、同一サーバー内にある他のウェブサイトに対しても、コンテンツの改ざんや情報の窃盗行為が可能な状態であった可能性が高いとしている。
Kasperskyでは、WDPはすでにサポートが終了し、新しいツールへの移行が推奨されていると指摘。どうしても使い続けなければならない場合には、セキュリティを向上させる方法が開発者のサイトで紹介されているとして、自分が管理しているウェブサイトやサービスでWDPを使用している場合は、すみやかに対策を講じることを強く推奨している。