「最近、PHPの問題が話題になっていますが、うちの事務所のホームページは大丈夫でしょうか？」
10月21日、PHPに重大な脆弱性があることが公表されてから、弁護士の先生方からこのような質問を受けるようになりました。
ニュースを見ても、専門用語が多く、自分の事務所のホームページに関係があるのか、わかりにくいものです。
今回は、10月に公表されたPHPの重大な脆弱性と、法律事務所のホームページで確認しておきたいことをご紹介します。
PHPとは？ なぜ問題になっているのでしょうか
PHPは、ホームページを動かすために広く使われているプログラミング言語です。
例えば、多くの法律事務所で利用されているWordPressも、PHPを使って動いています。
今回の問題は「PHP2shell」と呼ばれ、悪用されると、外部の第三者がサーバー上で不正なプログラムを実行できる可能性があります。そのため、10月26日には、米国のサイバーセキュリティ当局が、実際に悪用された脆弱性として登録。日本のIPA（情報処理推進機構）やJPCERT/CCも注意を呼びかけました。
ただし、PHPを使っているホームページが、すべて攻撃を受けたということではありません。
大切なのは、現在使用しているPHPのバージョンや、セキュリティ対策の状況を確認することです。
法律事務所のホームページで気をつけたいこと
法律事務所のホームページは、事務所の紹介だけでなく、法律相談の問い合わせ窓口にもなっています。
問い合わせフォームでは、相談者の氏名や連絡先、ときには相談内容に関する情報が送信されます。
こうした情報がどのように保存・管理されているかは、サイトによって異なりますが、不正アクセスや改ざんが起きれば、情報の安全性や事務所の信頼にも影響しかねません。ホームページが普段どおり表示されていても、それだけで安全とは判断できない点にも注意が必要です。
協北では、お客様のホームページについて、次のような確認・調査を行いました。
1．PHPのバージョン確認
まず、ホームページを動かしているPHPのバージョンを確認しました。今回の脆弱性に対応した修正版が公開されているため、現在のバージョンが影響を受けるものかどうかを把握することが重要です。
2．アクセスログの確認
次に、ホームページへのアクセス記録を調べ、不審なアクセスがないか確認しました。
3．エラーログの確認
サーバーやプログラムのエラー記録を調べ、通常とは異なる動きがないか確認しました。
4．ホームページの改ざんや不正なコードの確認
ホームページのファイルに不審な変更がないか、悪意のあるプログラムが追加されていないかを確認しました。
PHPのバージョンを確認するだけでなく、不正アクセスや改ざんの兆候がないかを調べることも大切です。
ただし、調査で不審な形跡が見つからなかったとしても、すべての攻撃を発見できるわけではありません。
また、侵害の兆候を調べることと、脆弱性を修正することは別の対策です。
影響を受けるPHPを使用している場合は、修正版への更新など、適切な対応が必要になります。
まず確認しておきたい2つのこと
専門的な作業はホームページの制作会社やサーバー管理会社に任せるとしても、法律事務所として確認しておきたいことがあります。
1．PHPは適切なバージョンになっていますか？
使用しているPHPのバージョンと、今回の脆弱性への対応状況を確認しましょう。WordPress本体が更新されていても、サーバー側のPHPが更新されているとは限りません。
2．更新や管理は、どなたが担当されていますか？
セキュリティ上の問題は、今回だけで終わるものではありません。
ホームページを制作した会社と、現在管理している会社が異なる場合もあります。
問題が発見されたとき、誰が確認し、誰が対応するのか、決めておくことも大切です。
「安心して相談できる」ために
法律事務所のホームページは、相談を考えている方が、最初に事務所と接する場所の一つです。
掲載する情報のわかりやすさやデザインはもちろん大切ですが、そのホームページが安全に運用されていることも欠かせません。
今回のようなセキュリティ上の問題が発生した際にも、状況を確認し、必要な対応を検討していくことが大切だと考えています。
先生方も、この機会に一度、ご自身の事務所のホームページの管理状況を確認されてみてはいかがでしょうか。