権限昇格攻撃とは？ WordPressで注意すべきサイバー攻撃と対策

「権限昇格攻撃」は、サイバー攻撃のひとつです。

悪質なユーザーが不正に自身の権限を昇格させることで、本来、閲覧できない情報へのアクセスや許可されていない操作を可能とし、機密情報・個人情報の漏洩、プログラムの不正改ざん、管理アカウントの乗っ取りなど、様々な被害に繋がるリスクがある攻撃です。

WordPressサイトでも権限昇格攻撃の被害が発生するリスクがあるため、サイト運営者は適切なセキュリティ対策を行うことが求められます。

権限昇格とは

「権限昇格（Privileges Escalation）」とは、該当ユーザーがもともと与えられていない権限を取得することです。

コンピューター分野における権限（特権）は、システムやソフトウェアに対してファイルの読み出し・書き込み・実行などの可否を制御するためのものです。

普段お使いのPCでも管理者としてソフトウェアなどのインストールを行うことがあるかと思いますが、このように一般ユーザーから管理者ユーザーに切り替えることは権限昇格の一例です。

ただし、システムにアクセス制御関連の脆弱性があると、攻撃者がそれを悪用して本来は付与されていない権限を不正に取得できてしまう場合があります。この攻撃を権限昇格攻撃と呼びます。

権限昇格攻撃により管理者権限が奪われると大きな被害に繋がるリスクがあります。

権限昇格の2つの種類

権限昇格には、水平的な権限昇格と垂直的な権限昇格があります。

垂直的な権限昇格

垂直的な権限昇格は、そのユーザーが本来持っている権限よりも高いレベルの権限を取得する攻撃です。既に何らかのアクセス権限を持っているのが前提で、攻撃者は不正な操作により追加の権限を取得します。

例えば、一般ユーザーアカウントが管理者としての権限を取得する場合が挙げられます。

水平的な権限昇格

水平的な権限昇格は、システムやソフトウェアへのアクセス権限そのものを取得する、または他の権限グループが持っている（自分は持っていない）同レベルの権限を取得する攻撃です。攻撃者は他のユーザーになりすまし、水平的な権限の昇格を試みます。

例えば、会社のある部署のユーザーが別部署のユーザーとして権限を取得する場合が挙げられます。

メール経由で個人情報が漏洩した事例

権限昇格は、他の攻撃との組み合わせで非常に大きな被害へと発展する可能性があります。2015年に日本年金機構で発生した個人情報漏洩事件では、最終的に125万件もの個人情報が漏洩しました。

攻撃の手口は次のとおりです。

1. 公開されているメールアドレスに対して業務と錯覚するような件名のメールを送付
2. メールを開封した職員の端末に不正プログラムをダウンロードさせ、遠隔操作できる状態に
3. 遠隔操作された端末で権限昇格を試み、職員100名分のメールアドレスを取得
4. 職員宛にマルウェア付きのメールを送信
5. 遠隔操作された端末でネットワーク内にある合計23台の端末を乗っ取り。ネットワーク経由で125万件の情報を窃取

この事例では、スパムメールに始まり数台のコンピュータが乗っ取られた状況から、権限昇格により最終的には125万件もの情報漏洩までの被害に繋がりました。さまざまな操作を実行できる権限が奪われる危険性がよくわかる事例です。

WordPressでの攻撃事例

WordPress関連でも権限昇格攻撃により大きな被害へと発展した事例があります。

2017年2月、WordPress の特定バージョン（4.7.0〜 4.7.1）において深刻な脆弱性が見つかったと公表されました。これはREST APIに関連するもので、存在しないIDを送信した場合に本来実施すべきユーザー権限の認証を行わないという脆弱性でした。

150万以上のサイトで改ざん被害が発生した事例

この脆弱性がWordPressによって発表されてからわずか数日で数十万件の攻撃が発生、さらに亜種も発見され、10日間で合計150万以上のサイトで改ざん被害が発生しました。短期間で多くの被害が発生したことから、セキュリティ専門家からは「WordPressに関連する脆弱性の中で、過去最悪のものの1つである。（This is one of the worst WordPress related vulnerabilities to emerge in some time）」とも評されています。WordPressは利用者数が多いため、万が一脆弱性が発見されると大規模な被害が発生するリスクがあり注意が必要です。

プラグインでも脆弱性が発見されるケースがある

ここまで大規模な被害には繋がらないものの、WordPressのプラグインでは権限昇格が可能な脆弱性が定期的に発生しているため攻撃されるリスクは常にあります。2023年だけでもサイトに会員機能を提供するプラグイン「Ultimate Member」、AIチャットボットを実装できるプラグイン「AI ChatBot」、ポップアップを作成できるプラグイン「Popup Builder」など複数のプラグインに権限昇格の脆弱性が発見されています。WordPressサイトの運営者は、こまめな情報収集や最新版のアップデートなど、迅速で適切な対応が求められます。

WordPressで考えられる被害

権限昇格攻撃の典型的な手口は、攻撃者が不正アクセス等の攻撃により端末へ侵入してから、ツールなどを用いて権限昇格攻撃を試みるケースです。

権限を取得されてしまうと、攻撃者がファイルの削除や変更などの特権的な操作が実行可能になり、被害が拡大します。

また、非公開の重要なファイルを無断で閲覧されることで個人情報やクレジットカード情報などが漏洩する危険性もあります。

WordPressであれば、コンテンツの改ざんにより不正サイトへのリンクを無断で追加されたり、リンク先を書き換えられたりする可能性があります。これによりWebサイトを閲覧しているユーザーが、マルウェア感染や情報漏洩といった二次被害に遭う危険性があります。
このように権限昇格攻撃が発生すると、直接的な被害だけでなく、企業の信頼低下に繋がるリスクもあります。

対策

権限昇格攻撃の被害を防ぐためには、「そもそもシステムに侵入されないようにする」対策と、「侵入された後に権限昇格ができないようにする」対策の2種類が有効です。

最新版にアップデートする

権限昇格攻撃の足がかりとなるマルウェア感染や不正アクセスを防ぐため、OSやソフトウェアの脆弱性を放置せず、常に最新版にアップデートすることが重要です。

適切なアクセス権限を設定する

ユーザーごとに適切なアクセス権限を設定することで、万が一アカウントを乗っ取られてしまった場合にも被害を最小限に抑えることができます。

アクセス管理においては、「最小特権の原則」という考え方があります。これは利用目的に応じて必要最小限の権限のみを付与するという原則です。この原則に基づいてアクセス権限を設定します。

不要なアカウントは適宜削除する

日頃使用されないテスト用のIDや、既に退職している社員のIDは放置すると攻撃されるリスクが高まります。不要なアカウントは残しておかずに削除します。

まとめ

権限昇格攻撃でシステムの管理者権限が奪われると、攻撃者により重要ファイルの閲覧や編集などの操作を許してしまいます。

場合によっては、マルウェア感染を引き起こすリンクを埋め込まれたりバックドアを設置されるといった大きな被害に発展する危険性があるため注意が必要です。

脆弱性を放置しない、不要なアカウントは削除するといった基本的な対策に加え、不審なメールは開封しないなど組織全体でセキュリティ意識を高めることも重要です。

WordPress保守・運用のパートナーなら「wp.support」にお任せ！

WordPressサイトを運用していて、以下のようなお悩みはありませんか？

• 管理画面を使いやすくしたいけれど、カスタマイズする時間や技術がない…
• サイトのUI/UXを改善したいけれど、自社内では難しい…
• WordPressサイトを高速化したいけれど、ノウハウがない…
• セキュリティ対策をしたいけれど、知識のある人材がいない…
• 日々の業務に追われて、バージョンアップなどの保守業務が放置気味…
• ちょっとしたトラブルを気軽に相談できる相手が欲しい…

「wp.support」は、WordPressのプロフェッショナル集団によるWordPress保守サービスです。
「セキュリティ対策」「バージョンアップ対応」「定期バックアップ」はもちろん、「電話サポートが無制限」なのでカスタマイズの方法やトラブル発生時にも気軽にプロに相談できます。

既に導入済みのお客様からも、
「些細なことでも気軽に相談できるパートナー的な存在」
「困ったら相談していいんだ、と気持ちが楽になった」
と大変ご好評をいただいています。

WordPress保守・運用のパートナーをお探しなら、ぜひお気軽にお問合せください。

>> wp.supportに無料相談する