VPSに侵入されたら何が起きるのか。
怖いのはサーバーの中身だけではない

でも、

「不正アクセスされたら危ないですよ」

だけでは、たぶん危険性が伝わらない。

なので今回は、

少し怖い話をします。

怖がらせたいです。

ちゃんと対策してほしいので。

これは、実際にうちで起きた話です

実は自分は以前、

サーバーへ不正侵入されたことがあります。

そのとき何をされたか。

ECサイトで、お客さんが商品を購入してカード決済へ進む部分。

そこを書き換えられていました。

本来なら正しいカード決済画面へ進むはずが、

攻撃者が用意したフィッシングサイトへ飛ぶように変更されていた。

お客さんから見ると、

普通に商品を選ぶ。

カートに入れる。

購入手続きをする。

カード情報を入力する。

いつもの買い物に見えます。

でも、そのカード情報を入力している先が偽物です。

つまり、

ということです。

幸い、自分たちは書き換えられていることに気づきました。

実害が出る前に止めることができました。

でも、もし発見が遅れていたら。

お客さんは、

うちの店で普通に買い物をしたつもりで、

カード情報を攻撃者へ渡していたかもしれません。

これは今思い出しても怖いです。

サーバーの中に重要な情報がなければ安全、ではない

この経験で分かったのがこれです。

サーバーに、

「盗まれて困るデータは入れていません」

では安心できません。

うちのケースでも、

攻撃者が欲しかったのは、

サーバー内に保存されているカード番号ではありませんでした。

お客さんがこれから入力するカード情報。

それを盗むために、

正規のECサイトを書き換えた。

つまりサーバーそのものを、

ということです。

これがサーバー侵入の怖いところです。

一度入られると、何をされるかはこちらでは決められない

侵入されたら、

ファイルを盗まれる。

ホームページを書き換えられる。

それくらいのイメージを持っている人もいると思います。

実際には、もっとあります。

• 顧客情報を盗まれる。
• 社内資料を持ち出される。
• システムを書き換えられる。
• パスワードやAPIの接続情報を盗まれる。
• お客さんを偽サイトへ誘導される。
• データを暗号化される。

そして、

ということまであります。

自分のサーバーが、攻撃者のパソコンになる

これが、いわゆる「踏み台」です。

一度VPSを乗っ取られると、

そのVPSから外へ通信できます。

つまり、

自分が契約して、自分がお金を払っているサーバーを、攻撃者が勝手に使う。

ということが起こります。

• 別の会社への不正アクセス。
• 大量の通信。
• フィッシング。
• マルウェアの配布。
• 迷惑メール。
• 仮想通貨のマイニング。

こういうことに使われる可能性があります。

怖いのは、

自分は被害者なのに、

外から見ると、

ことです。

さらに怖いのは、社内への入口になること

もしそのVPSが、

• 社内のパソコン。
• データベース。
• 他のサーバー。
• 外部サービス。

こういうものとつながっていたら、

攻撃者は次を探します。

「このサーバーの中に何があるか」

だけではありません。

「ここから、どこへ行けるか」

です。

1台侵入されて、

そこから別のサーバーへ。

さらに別のシステムへ。

ということも起こり得ます。

これを「横展開」といいます。

難しい言葉ですが、

と思えばいいです。

正規のアカウントを盗まれると、さらに分かりにくい

侵入した攻撃者が狙うものの一つが、

パスワードや認証情報です。

サーバーの中には、

他のシステムへ接続するための情報が残っていることがあります。

• DBの接続情報。
• メール送信の設定。
• APIの認証情報。
• 管理用アカウント。

それを盗まれると、

次からは攻撃者が、

ということもあります。

外から不正侵入しているのに、

システムから見ると正規ユーザー。

これはかなり厄介です。

侵入されたら、すぐ分かるとは限らない

これも自分の経験から怖いところです。

サーバーへ侵入されたら、

• 画面が真っ黒になる。
• 変なメッセージが出る。
• サーバーが止まる。

そう思うかもしれません。

でも、うちの場合は違いました。

ECサイト自体は動いていました。

商品も見られる。

カートにも入る。

購入手続きも進む。

ただ、

カード決済へ進む先だけが書き換えられていた。

ぱっと見では分かりません。

つまり、

ということです。

データを盗んでから、全部止められることもある

さらに悪いケースでは、

まずデータを盗む。

そのあとシステムを暗号化する。

そして、

「元に戻してほしければ金を払え」

となります。

ランサムウェアです。

しかも今は、

バックアップがあるから大丈夫。

だけではありません。

データを復旧できても、

「盗んだデータを公開するぞ」

と脅されることがあります。

つまり、

止められる被害と、

漏らされる被害。

両方あります。

AIエージェントの時代は、さらに怖い

ここは自分が今、一番気にしています。

昔のサーバーは、

ホームページを置く場所。

という意味合いが強かった。

でもこれからは違います。

• AIエージェント。
• 社内システム。
• 自動化プログラム。
• 各種API。
• メール。
• 業務ツール。

いろいろなものにつながっていきます。

つまりVPSが、

になっていく。

そこを取られたら、

昔のホームページサーバーを取られるのとは意味が違います。

自分も過去に、

ECサイトの決済先を書き換えられた経験があります。

あのときより、

今のサーバーのほうが、

会社のいろいろなところにつながっています。

なので、

今のほうが怖いと思っています。

だから「入られたら守る」では遅い

• パスワードを強くする。
• SSHを鍵認証にする。
• ソフトを更新する。
• 不正アクセスをBANする。

こういう対策は必要です。

でも今回、自分がさらに考えたのは、

そもそも攻撃者を入口まで来させる必要があるのか。

ということです。

会社からしか使わないのであれば、

会社の固定IP以外を拒否する。

外部からも使うのであれば、

Tailscaleのような許可した端末しか入れない仕組みにする。

つまり、

「破られないように強くする」

だけではなく、

ここまでやる。

自分はこれをおすすめします。