フランスから1時間に3,665件。小さな会社のサイトを「総当たり」していたアクセスの正体

僕は毎週、このサイトにどこの国からアクセスが来ているかを見ています。

9月から10月の半ばまで、顔ぶれはほとんど変わりませんでした。1位はアメリカ、2位は日本。その下にベルギーやオランダが続く、という形です。

ところが10月の後半から、急に様子が変わりました。

フランスが、いきなり2位に

10月26日の週、それまで名前のなかったフランスが、初めて上位に入りました。2週間で4,159件です。

次の週には、それが9,247件になりました。倍以上です。日本(4,980件)を抜いて、アメリカに次ぐ2位になりました。

いちばん多かったのは、11月2日のお昼の1時間です。この1時間だけで、フランスから3,665件のアクセスがありました。1秒に1件以上のペースです。

このサイトに外から読みに来てくれるのは、1週間で40回ほどです。それに対して、フランスからは1時間で3,665件。人ではないことは、すぐに分かりました。

やっていたこと

調べてみると、送り元はフランスのレンタルサーバー会社にある、ほんの数台のコンピューターでした。

そのコンピューターは、このサイトの中にある「ありそうな場所」を、片っ端から開こうとしていました。たとえば、

• パスワードなど、大事な設定が書かれたファイル
• WordPress(ホームページを作る定番の仕組み)の管理画面
• サーバーの中身を表示する確認用のページ

といったものです。同じファイルを、場所を変えて何十通りも試していました。

これは、このサイトを狙い撃ちしたものではありません。インターネット中のサイトを、同じ一覧で順番に回っていく自動のプログラムです。鍵のかかっていない家がないか、一軒ずつドアノブを回して歩いているようなものです。

結果は、何も取られていない

結果も確かめました。

• 「そんなものはありません」と返したのが、約3,700件
• 普通のページに案内し直したのが、約1,400件
• 探していたファイルの中身を返したのは、0件

このサイトは、WordPressを使っていません。大事な設定のファイルも、外から見える場所には置いていません。ないものは、いくら探しても出てきません。

10月21日の山も、同じ相手だった

実は、10月21日にも気になる山がありました。

ふだんは1日1,300〜2,700件ほどのアクセスが、この日だけ6,312件に跳ね上がっていました。Cloudflare(サイトの前に立って、不審なアクセスを止めてくれる仕組み)が止めた不審なアクセスも、1日で105件ありました。

さかのぼって調べると、これも同じフランスのコンピューターからでした。約4,000件です。10日ほど間をあけて、また来ていたことになります。

ほかの国からも来ている

フランスだけではありません。直近の1週間でも、ポーランドのサーバーから291件、国内にあるサーバーからも273件、同じような「探し回り」が来ていました。

アメリカを除くと、上位に入る国は数週間ごとに入れ替わっています。ベルギー、オランダ、そしてフランス。送り元が変わり、量が増え、探す場所の一覧も少しずつ増えています。どんどん変わってきているな、というのが正直な実感です。

小さな会社のサイトだから狙われない、ということはありません。相手は、会社の大きさを見ていません。全部のドアを順番に回しているだけです。気をつけていきたいですね。

会社として押さえておきたい基本の対策は、以前「相次ぐ情報漏えい、どこから入られた？」にまとめました。

毎週の確認は、AIで自動にしています

このサイトでは、毎週月曜日に、AIを使ってセキュリティの確認を自動で回しています。見ているのは、たとえばこんなことです。

• 大事なファイルが、外から読めるようになっていないか
• サイトの部品に、弱点や修正版が出ていないか
• 今週はどこから探られたか、何か読まれていないか

何か見つかったら、原因を調べるところまで自動でやります。直せるものは直して、そのまま本番に反映します。ただし、出たばかりの修正版はすぐには入れず、7日待ってから入れるようにしています。出た直後の版には、まだ見つかっていない問題が混ざっていることがあるからです。

そして、毎週の報告書も自動で届きます。もちろん、僕がちゃんと読んでいます。今回のフランスの件も、その報告書で気づきました。

自動にしたのは、確認の作業です。読んで、どうするかを決めるのは人です。そこは変わりません。

現場からは以上です。