みなさん、こんにちは！
ブリュの公式ブログ.netにお越しいただきまして、ありがとうございます。
このサイトでは、ITについて特化したサイトを運営しています。
今回はMixHost
について取り上げます。
Mixhostといえば、サイバー攻撃やその他の障害発生など、セキュリティ問題や安定性に関して大炎上中のサーバー会社です。
あちらこちらでコテコテに叩かれているようですが、その真相について、失礼を承知で直接聞いてきました。
場所はA8フェスティバル2019 in大阪で、場所はMixhostの展示ブースのです。
メールではなくMixhostのブースで対面して直接です。
結局のところは、
- サーバー側のセキュリティに問題はない
- 未更新のWordPressの脆弱性を突かれたサイバー攻撃
- 無料お試し期間などでサーバー内に不正コンテンツを置かれ、IPアドレスがGoogleの判断でブラックリストに入れられた
という具合のようです。
結局、話をすべて聞いたところ、サーバー側の問題ではなくユーザー側の問題のほうが大きいです。
お試し期間で不正コンテンツを置かれるというのはサーバー会社への嫌がらせ的な意味合いもあり、特殊な事情ですし、事後的にはなりますが不正コンテンツへの適切な対処は行われたようです。
セキュリティ関係に関しては、WordPressの不適切な運用が問題となっているようです。
では、Mixhostのサイバー攻撃やその他障害が発生して不安定な件について、さまざまな経緯も含めてみていきましょう。
目次
Mixhostのセキュリティに関する大炎上について
Mixhostのサイバー攻撃に関する大炎上問題です。
よく言われているのが、
- ウイルス感染した
- cPanelにアクセスするとGoogleの警告表示が出た
- データベースのデーターが消失した
などのよくない情報が大量に投稿されています。
ここまでのことを書かれていると、契約を躊躇する方もいるのではないでしょうか。
かつて起こったロリポップ！
のサイバー攻撃時を受けて大問題となっており、当時のロリポップ！と比較している方もいました。
また、この大炎上のタイミングにおいて、Mixhostから、
- 半永久無料プラン
- ワンコインでプレミアムプランにアップグレードキャンペーン
も同時に開催され、最悪の場合には倒産するのでは・・・などといった憶測も飛んでいます。
ここでは先にMixhostが信頼できる会社なのかについて、しっかりと説明をしておきましょう。
なんで炎上問題について聞こうと思ったのか？
本題に入る前に、なんでMixhostの大炎上問題について聞こうと思ったのかについても紹介しておきましょう。
それは、私自身が半永久無料プランを契約したかったからです。
実際、半永久プランというものは、過去にロリポップ！が行っていました。
内容としては、ロリポップ！のチカッパプラン（月額500円程度）で、5年分を先払いすれば半永久無料というものでした。
ロリポップ！の月額500円といえば今のスタンダードプラン相当ですが、性能的には普通といった感じ。
しかし、今回のMixhostの半永久無料プランは、スタンダードプランとプレミアムプランが対象であり、全レンタルサーバーの中でもかなり高性能なプランです。
なんといっても、MixhostはLiteSpeed、LSAPI、オールSSDなど、ロリポップ！のチカッパプランとは全く異なり、実用上で十分耐えるどころかオーバースペックに近い性能を有するレンタルサーバーです。
こんな高性能なプランを、それぞれ5年分の利用料金、
- スタンダードプラン：52,800円
- プレミアムプラン：106,800円
を先に入金すれば、そのご半永久的にMixhostを使い続けられるというものです。
これはかなり魅力的ですよね。
高速サーバーでブログを運営しつつ、5年以降はブログの運営コストが独自ドメイン代だけになります。
これ、本当ならすっごいお得なことだと思いませんか？
ただ、同時にツイッターが大炎上しており、セキュリティの甘さや計画倒産までささやかれていると、不安になりました。
そこで、自分のためにもしっかりと
- サイバー攻撃は何が問題で発生したのか？
- サーバー会社としてどう対処したのか？
について、しっかりと聞いてこようと思いました。
要は、敵が見えれば怖いものはないですからね。
よって、（自分のためにも！）A8フェスティバル2019 in 大阪のMixhostの展示ブースに勇み足で突撃してきました！
Mixhostのサーバーダウンの原因と解決策
ウイルス感染した
まず取り上げるのが、Mixhostがウイルス感染したという話。
Mixhostのウイルス感染に関しては、WordPressの脆弱性を狙ったサイバー攻撃が原因ということです。
ツイッター上の情報では、データベースそのものが破壊されたと書かれているものもあり、サーバー本体が破壊されたと思っていたのですが、ユーザー領域にあるWordPressへの攻撃ということで納得しました。
よって、この件に関してはMixhost側の説明のほうが理にかなっており信用性があります。
私のほうから補足すると、WordPressはソースコードが公開されており、次々と脆弱性が見つかって攻撃され、脆弱性に対してのアップデートが行われと、いたちごっこになっています。
よって、WordPressを利用するうえで、
- 脆弱性のあるプラグインは使用しない
- WordPress本体やプラグインは最新のものを利用する
- 個人で可能な範囲のセキュリティを行う
- バックアップを取る
といったことは必須の作業となります。
よって、脆弱性を放置しているWordPressは、Mixhost以外のレンタルサーバーでも、そのうちウイルス感染します。
※今までウイルス感染してこなかったのが運がよかったとも言える・・・
ということで、ユーザー側がきちんとWordPressの脆弱性に対処していれば、ウイルス感染は十分防げた問題であり、レンタルサーバー会社の責任ではないということです。
WordPressはサイバー攻撃を受けやすいツールであり、
- 常に最新版を利用する
- プラグインは最新版かつ最新版のWordPressでも問題なく動作するものを利用する
などの最低限の適切な運用を行っているだけでも足りないぐらいの危険性があります。
特に今回サイバー攻撃を受けているWordPressは古いバージョンを使っていて更新されていないWordPressだったそうです。
ある意味、サイバー攻撃を受けて当然ともいえる状況です。
cPanelにアクセスするとGoogleの警告表示が出た
cPanelはMixhostの管理画面に当たります。
このcPanelにアクセスをすると、Google Chromeにおいて警告が出たという問題です。
詐欺サイトである下のような真っ赤な画面のことです。
※この画像は実際の詐欺サイトにアクセスしたときのものであり、今回のMixhostの件とは直接的に関係ありません。
これについては、無料お試し期間中などに不正コンテンツを設置されたのが原因ということでした。
無料お試し10日間を悪用し、Googleが嫌うコンテンツをサーバー上で公開され、GoogleがサーバーのIPアドレスごとブラックリストに登録してしまったために起こった問題でした。
これについては、サーバーが悪いのではなく、
- サーバー会社への嫌がらせ
- ただ悪用されただけ
といえます。
要はMixhostへの嫌がらせであり、タチの悪いユーザーが紛れ込んだことによるものです。
ある意味、共用サーバーとして、不特定多数と1台のサーバーを共有している以上、どこのレンタルサーバーでも起こりうる問題です。
この場合には特にサイバー攻撃というものでもないわけで、アクセスできなかっただけであり、データーの欠損などは生じていないはずです。
ユーザー側の対処としては、バックアップデータを活用し、臨時で契約した他社サーバーなどにブログを移動させ、Mixhost側の復旧をただ待つというのが適切でしょう。
詳細を説明しましょう。
Googleはインターネットの安全を確立するために、不正コンテンツを掲載しているサイト、例えるなら、
- ウイルスを媒介しているサイト
- 詐欺サイト
などを徹底的に排除し、見つけた場合には警告表示とともにアクセスを遮断します。
今回の場合には、
- お試し期間中に不正コンテンツを設置され、
- Googleが不正コンテンツと認識し、
- IPアドレス自体がブラックリストに載ってしまった
というのが原因らしいです。
Googleのアクセス遮断はドメイン単位で行うものと思っていましたが、ドメインとIPアドレスには関係性がありますから、今回はIPアドレス単位でアクセスがブロックされたということになります。
したがって、レンタルサーバーそのものがウイルス感染したわけではありません。
この時のMixhostの対応としては、
- 不正コンテンツを除去する
- サーバーのIPアドレスを変更する
と行ったということでした。
まずはGoogleにブロックされる原因となる不正コンテンツを削除します。
そして、IPアドレス自体は汚れてしまっている状態ですから全く別のIPアドレスに変更します。
この状態でしばらく待ち、再度Googleにブロックされなければ、作業は完了となります。
なお、現在ではGoogleにブロックされることはなく、正常にアクセスできるようになっているとのことです。
なお、不正コンテンツが設置された原因についても聞いてみました。
Mixhostといえばアダルトサイトを運営可能なレンタルサーバーですので、可能性としては不正コンテンツと判断されうる内容の掲載確率が高そうな気がしたからです。
これについても関係はないということでした。
アダルトサイトを運営している方は収益重視の方が多く、あえてサーバーが落ちるような、機会損失になるような使い方はしていないということです。
むしろ無料お試し期間中のユーザーのほうが相当危険なことをしていくようです。
データベースのデーターが消失した
データベースのデータが消失したのは事実なようです。
しかし、これはすべて旧サーバー環境で起こっており、新サーバー環境については起こっていないということでした。
これから新規契約する場合には全員が新サーバー環境になるので、安心して利用できます。
なお、旧サーバー環境を利用している場合には、無料で新サーバー環境に移動ができるようにアナウンスしているとのことでした。
Mixhostの立場としては、旧サーバー環境の方は早めに新サーバー環境へ移動してほしい感じでした。
やはり障害が生じますとサーバー会社の印象は悪くなりますし、そのリスクは旧サーバ環境ほど大きくなります。
無料で新サーバーに移行できることを案内しつつも全員が移動してくれない。
でも、「移動しろ！」とも強く言えないような、どうにもできない部分を感じました。
旧サーバー環境を利用している場合には、早めに新サーバー環境に移動することをお勧めします。
おそらくFTP情報などの設定変更が必要になるとは思うのですが、ITの世界って激しい攻防が行われており、それに対応していくためには既存のものを永遠に使えるという感覚は危険です。
より良いものへの移転が無料で行えるという好条件であれば、面倒がらずに早めに移転するべきでしょう。
WordPressの基本的セキュリティ
さて、WordPressの基本的なセキュリティについておさらいしておきます。
当サイトではWordPressのセキュリティについては何度も書いているので、いつもご覧いただいている方にはすでに知っていることかもしれませんが、今回はMixhostの方のコメントも併せて、紹介します。
WordPressのパスワードを複雑なものに
WordPressに限らずパスワードは複雑なものを設定しましょう。
サイバーセキュリティにおける基礎中の基礎となります。
常に最新バージョンを利用する
WordPress本体やプラグインは脆弱性が発見されると、新バージョンへのアップデートが促されます。
必ず最新バージョンを利用してください。
なお、WordPressにおいて不具合のあるプラグインは、代替を探すか使用を中止してください。
セキュリティ系プラグインの導入
SiteGuardプラグインは必須です。
また、2つ目のパスワードを設定するプラグインもあるので、併せて利用すればセキュリティはより強固になります。
IPアドレス制限
IPアドレス制限は最強の砦です。
WordPressのログインページや管理画面には、自分以外のIPアドレス以外、すべてのアクセスを拒否します。
なお、Mixhostのアドバイスとしては、最近では容易にIPアドレスの偽装が可能であるため、IPアドレス制限は最強という過信は禁物とのことでした。
WordPressのセキュリティに完璧はないので、上記のような様々なセキュリティを組み合わせ、突破されるまでのハードルを限りなく高くしておくことが重要ということです。
定期的なバックアップを
先ほど説明したように、WordPressのセキュリティに完璧はありません。
よって、定期的なバックアップを取ってほしいということでした。
まとめ
結局、ネット上のあちらこちらで、Mixhostを責めるような内容が散見されました。
ただ、本当にサーバー会社の過失で被害が生じているのでしょうか？
本当にユーザー側の過失はなかったのでしょうか？
ネット上では、様々な情報が飛び交っていますが、逆に言えば好き勝手に発言しているだけです。
同じ思いの人がいれば団結して炎上し、逆になれば削除すれば済むような軽い世界です。
なんでもネット上で検索できるのは便利な時代ですが、あまりにも過信しすぎるのは危険であり、判断を狂わす魔物であるとも言えます。
最近ではコアサーバーがディスクの故障でデータを吹っ飛ばしたりしてますし、対策をしているとはいえどのレンタルサーバーもどんな障害が起こるかわかりません。
様々な危険性を考慮し、
- バックアップを必ず取る
- 複数の会社でレンタルサーバーを契約する
等の対策をしましょう。
以上、Mixhostのサイバー攻撃で大炎上している問題について、参考になれば幸いです。
