ECサイトの安全を、公開情報から確認。

誰に影響するのか

ECサイトの店主、運営担当者、制作会社、決済担当者、商品登録を行うスタッフ、そして購入するお客様に影響します。カード情報を自社で保持していない場合でも、管理画面の乗っ取りや商品ページの改ざんは起こり得ます。

小さなECサイトでも、問い合わせ、予約、会員登録、決済など、個人情報を扱う機能があれば確認が必要です。

ECサイトのリスクの正体

ECサイトでは、CMSやプラグインの脆弱性、管理画面の弱い認証、古いPHP、公開されたバックアップ、決済画面の改ざんなどが問題になります。カード情報を自社サーバーで扱う場合は、PCI DSSなどの決済業界の要件も関係します。

攻撃者は、カード情報だけでなく、管理者アカウント、顧客情報、商品データ、ドメインの評判を狙います。サイトが正常に見えていても、決済画面だけが改ざんされることがあります。

• CMS・プラグイン・テーマの更新漏れ
• 管理画面のパスワード使い回し・二要素認証なし
• サポート終了したPHP
• 公開されたバックアップ・設定ファイル
• 決済事業者以外の場所でのカード情報入力

影響を受けているか確認する方法

管理画面の更新状況、プラグインの最終更新日、PHPのバージョン、管理者ユーザー、二要素認証、バックアップの取得状況を確認します。決済は、カード情報を自社で保存せず、決済事業者のホスト型ページを使っているかも確認してください。

公開ページの表示やフォームの動作だけでは、内部のマルウェアや不正な管理ユーザーは分かりません。不審な決済画面、見覚えのない管理者、検索結果の変更があれば、決済を一時停止することも検討します。

無料スキャンでわかること

Security Postureの基本スキャンは、公開情報からCMSの痕跡、TLS証明書、セキュリティヘッダー、公開ファイルなどを確認し、スコア、リスク判定、カテゴリ別の優先度を表示します。

ECサイトの表面状態を短時間で把握するための入口として使えます。カード情報や管理画面のログイン情報を入力する必要はありません。

無料スキャンではわからないこと

PCI DSSへの準拠、カード情報の保存状態、決済の不正、ビジネスロジックの脆弱性、在庫や価格の改ざん、マルウェア、管理画面の内部設定は確認できません。

本サービスは、マルウェアの駆除、改ざんの復旧、決済の補償、PCI DSSの認証、実際の決済テストを行いません。

結果の読み方

スコアが低い場合は、公開情報から見て優先的に確認したい項目があります。スコアが高くても、カード情報の扱いや管理画面の安全性が保証されるわけではありません。

ECサイトでは、決済事業者の設定、管理画面の二要素認証、CMSとPHPの更新、バックアップの復旧テストを、公開情報のチェックとは別に確認してください。

次にすること

CMS、プラグイン、テーマ、PHPを最新のサポート対象に更新し、不要なプラグインと管理者ユーザーを削除します。管理画面には二要素認証を設定し、決済情報は決済事業者のホスト型ページで扱うのが基本です。

更新前のバックアップと復旧テストを行い、更新後に商品ページ、カート、決済、注文メール、問い合わせフォームを確認します。PCI DSSの対象になる場合は、決済事業者や専門家に確認してください。

• CMS・プラグイン・PHPを更新する
• 管理画面に二要素認証を設定する
• カード情報を自社で保存しない
• バックアップと復旧テストを行う