屋根工事のSEOは「被リンク」がかなり重要です。私がそう考える理由
こんにちは。盛岡市で屋根工事を専門にしている瀧澤屋根工業です。
今日は屋根の話を少しお休みして、セキュリティの話を書きます。屋根屋がなぜ、と思われるかもしれません。ただ、この10日ほどのニュースを追いかけているうちに、これは他人事ではないと感じるようになりました。そして、屋根の上で毎日考えていることと、驚くほど同じ構造をしていることにも気づきました。いつもより長くなりますが、腰を据えて書いてみます。
なお、事件はまだ捜査と調査の途中です。この記事では、会社や公的機関が発表していることと、攻撃者が一方的に主張していること、報道や専門家の推測とを、できるだけ分けて書くようにしました。
目次
GMOで何が起きたのか
舞台になったのは、GMOインターネットグループが提供している「お名前.com デスクトップクラウド」というサービスです。インターネットの向こう側にあるパソコンを借りて、自分の手元から操作する仕組みで、FX（外国為替証拠金取引）の自動売買などに使う人が多いサービスでした。つまり利用者の多くは、そこにお金の取引に関わる情報を置いていたことになります。
会社の発表によると、10月20日に一部のサーバーで不正なプログラムが見つかりました。翌21日の未明には不正アクセスの第一報が出され、サービスは止められます。そして同じ21日、会社には攻撃者から脅迫メールが届きました。要求額は約80億円。持ち出した情報を公開されたくなければ払え、という内容です。
会社は「攻撃者からの要求には応じません」と明言し、22日には警察に相談しました。24日には、不正アクセスと顧客情報の外部への持ち出しを確認したと発表しています。影響を受けた可能性があるのはサーバー2万6千件余りとされていますが、これは「可能性がある範囲」であって、情報が漏れた人数が確定したわけではありません。
攻撃者は、日本語の告知サイトを使って揺さぶりを続けました。報道によれば、期限までに支払わなければ利用者のパソコンにも攻撃を仕掛けると予告し、10月27日の正午からは、利用者一人ひとりの名前を掲げて情報を順番に公開すると宣言します。会社はその日の昼過ぎに、会社と顧客に関する情報と称するものが公開されたことを確認しました。ただし会社は、事実と異なる内容が含まれているおそれがあるとしており、実際に名前を出された方が「氏名と住所以外は事実ではない」と話したという報道もあります。
28日の未明、その告知サイトは閲覧できなくなりました。同じ日に会社は、犯人の特定につながる情報に上限100万ドルの懸賞金を出す制度を始め、その日の夕方までに100件を超える情報が寄せられたと発表しています。警視庁が不正アクセス禁止法違反などの疑いで捜査を始めたことも報じられました。会社は、今の仕組みのままでサービスを再開することはせず、基盤を作り直したうえで代替サービスを用意すること、不正な取引で損失が出た方への補償、情報を公開された方への見舞金を決めています。
この事件の、本当に怖いところ
情報漏えいの事件は、残念ながら珍しくありません。それでも今回の件が大きく報じられたのには、理由があると思います。
一つは、脅しの矛先が会社ではなく、その先にいる利用者一人ひとりに向けられたことです。会社に「払え」と迫るだけでなく、利用者の名前を掲げ、資産や暮らしに関わる情報をちらつかせて、利用者の側から会社に圧力がかかるように仕向けました。人質に取られたのは会社のデータではなく、そこに情報を預けていた個人だったわけです。
もう一つは、公開された情報が本物かどうか、誰にもすぐには判断できないことです。本物と偽物を混ぜて出されると、利用者は不安になり、会社は一件ずつ確認に追われます。真偽が分からないこと自体が、攻撃の道具になっています。情報セキュリティの世界では、盗むことよりも「信用を揺さぶること」の方が攻撃側の目的になる場合がある、と言われますが、今回はまさにその形でした。
そして三つめに、会社が「払わない」と決めたことの重さがあります。払えば終わるかもしれない、という誘惑は当然あったはずです。しかし一度払えば、次の攻撃の資金になり、「この会社は払う」という評判が新たな標的を呼びます。目の前の損を引き受けてでも要求をはねつける判断は、長い目で見て社会全体を守るものだと私は受け止めました。
同じ日、ホームページの「土台」にも穴が見つかった
GMOの件と同じ10月21日、ホームページの世界でもう一つ大きな出来事がありました。PHPというプログラムの深刻な弱点（脆弱性）です。
PHPは、ホームページを「その場で組み立てる」ためのプログラム言語です。昔のホームページは、作った紙を壁に貼っておくようなものでした。今の多くのホームページは違います。誰かがページを開くたびに、サーバーの中で文章や写真や新着情報を組み合わせて、その人のためにページを作って返しています。その組み立て役を担っている代表がPHPで、ブログやお店のホームページで広く使われているWordPress（ワードプレス）も、このPHPの上で動いています。
経緯はこうです。10月20日、PHPの開発チームが「深刻な弱点を直す版を翌日に出す」と予告しました。深刻度は10点満点で9.2。ログインもしていない外部の人間が、条件しだいでサーバーの上で好きなプログラムを動かせてしまう、という種類の弱点が2件です。翌21日の昼には、IPA（情報処理推進機構）と国の機関が注意を呼びかけ、使っているところは修正をすぐ当てられるよう準備するようにと促しました。
その日の午後、事態が動きます。弱点の詳しい中身が、予定より早く外に漏れたと伝えられたのです。修正版が出る前に攻撃の方法が出回れば、守る手段のないまま狙われることになります。大手のレンタルサーバー会社は午後4時に管理画面を止め、保育園の連絡アプリや、ネットショップのサービスも、念のためにサービス全体を止めました。修正版が公開されたのはその夜の23時ごろ。各社は翌22日の早朝から夜にかけて、順番に修正を当てて再開していきました。
今回の弱点のやっかいな点は、WordPressそのものや追加機能（プラグイン）を最新にしても直らないことです。問題はWordPressではなく、その下のPHPにあるからです。大手のレンタルサーバーは会社の側で修正を当てていますが、自分でサーバーを借りて管理している会社や、何年も前に作ったまま誰も触っていないホームページは、自分で確かめなければいけません。古い版のPHPには開発元からの修正がもう出ないため、新しい版に切り替えるしかない場合もあります。
IPAは23日の時点で、この弱点を悪用した攻撃を確認しているわけではないとしています。一方で、この弱点を狙ったとみられるアクセスを確認したと報告したレンタルサーバー会社もありました。狙われることと被害が出ることは別の話ですが、攻撃する側の動きが速いことだけは確かです。
止めるという判断に、私は感心しました
PHPの件で私がいちばん考えさせられたのは、保育園の連絡アプリやネットショップが、まだ被害が出ていない段階でサービスを丸ごと止めたことです。
止めれば、利用者から苦情が来ます。売上も止まります。それでも、修正が出るまでの数時間に何かが起きる可能性を考えて、先に止めた。これは屋根の仕事にも通じる判断です。台風が来る前に、浮いている棟板金をいったん外しておく。雨が降る前に、ブルーシートで仮の養生をする。何も起きなければ「やりすぎだった」と言われるかもしれません。それでも、起きてからでは取り返しがつかないことがあります。
GMOの「払わない」という判断と、各社の「先に止める」という判断。どちらも、目の前の損を引き受けて、もっと大きな損を防ぐ選択です。守る仕事というのは、多かれ少なかれ、そういう判断の連続なのだと思います。
屋根屋から見ると、これは「見えない下地」の話です
ここからが、私が今回いちばん書きたかったことです。
私はこのコラムで何度も、「雨を最後に止めているのは、表に見えている屋根材ではなく、その下の防水シート（ルーフィング）だ」と書いてきました。屋根材は1枚1枚が完璧に水を止めているわけではありません。何枚も重ね、その下にルーフィングを敷き、さらに継ぎ目を板金で納める。どこか1か所が破れても、次の層で止まるように作っています。屋根の世界ではこれを「雨仕舞（あまじまい）」と呼びます。
ネットの守りも、同じ考え方で作られています。専門家は「多層防御」と呼ぶそうです。パスワードという1枚の屋根材だけで家を守ろうとすると、それが割れた瞬間に雨は部屋の中まで入ってきます。二段階認証、ソフトの更新、権限の絞り込み、バックアップ、怪しい連絡を開かない習慣。それぞれは完璧でなくても、重なっていることで、どこかが破れても被害を途中で止められます。
もう一つ似ているのは、「見た目がきれいでも、下地が古いことがある」という点です。塗装したばかりのきれいな屋根から雨が漏る現場を、私は何度も見てきました。表面は新しくても、下のルーフィングが30年前のままだったからです。ホームページも同じで、デザインを新しくしても、その下で動いているPHPやサーバーが古いままなら、弱点は残ります。今回のPHPの件は、何万、何十万というホームページの「ルーフィング」に、同時にひびが見つかったようなものでした。
そして屋根と違って、ネットの下地は外から見ても分かりません。屋根なら、2階の窓から見下ろせば瓦のずれくらいは分かります。サーバーの中で何の版のPHPが動いているかは、見ようとしなければ一生目に入りません。だからこそ、定期的に「下地」を点検するという発想が、これからは欠かせなくなると思います。
屋根屋も、お客様の大切な情報を預かっています
私がこの話を他人事にできない理由は、もう一つあります。屋根屋という仕事は、思っている以上に、お客様の暮らしに関わる情報を預かっているからです。
ご住所やお名前、電話番号はもちろんです。それに加えて、家の外観や屋根の写真、どこから雨が漏っているかという家の弱点、そして工事の日程、つまり家に人がいる時間といない時間まで、私たちは知っています。最近はLINEで屋根の写真を送っていただくご相談も増えました。便利になった分、その写真や会話をどう扱うかは、私たちの責任です。
GMOの件で攻撃者が狙ったのは、まさにこうした「その人の暮らしが見える情報」でした。会社が預かっている情報は、会社のものではなく、お客様のものです。大きな会社でも、盛岡の小さな屋根屋でも、それは変わりません。当社も業務にAIやクラウドのサービスを取り入れていますが、便利な道具を使うほど、鍵の管理や「誰が何にアクセスできるか」を意識しなければいけないと、あらためて感じています。
ご家庭で、今日からできること
専門的な対策は専門家に任せるとして、ご家庭でできることも確かにあります。
まず、事件に便乗した連絡に気をつけることです。大きな事件のあとには必ず、会社や警察、関係機関を名乗るメールやSMSが出回ります。GMOも、パスワードや認証コードを尋ねることはない、「被害金を取り戻す」といった費用を求める連絡には応じないように、と呼びかけています。気になる連絡が来たら、届いたメールのリンクからではなく、自分で公式のページを開いて確かめてください。PHPの件でも、騒ぎに乗じた「至急更新してください」という偽の連絡が出回るおそれがあると指摘されています。
次に、パスワードの使い回しをやめ、使えるところでは二段階認証をオンにすることです。どこか1か所から漏れた鍵で、ほかの家まで開けられてしまう事態を防げます。スマホやパソコンの更新を後回しにしないことも大切です。更新の多くは、今回のPHPと同じように、見つかった弱点をふさぐためのものです。
そして、大事な写真や書類のバックアップを取っておくことです。屋根で言えば、最後に雨を止めるルーフィングにあたります。どれだけ気をつけていても破れることはある、という前提に立つと、最後に何が残るかがいちばん大事になります。
ホームページをお持ちの事業者の方は、自分のサイトが何で動いているか、PHPの版はいくつか、誰が管理しているかを、一度確かめてみてください。WordPressなら管理画面の「ツール」から「サイトヘルス」を開くと、サーバーの情報としてPHPの版が確認できます。分からなければ、制作を頼んだ会社やレンタルサーバー会社に聞けば教えてくれます。「分からないまま何年も置いてある」状態がいちばん危ない、というのも屋根と同じです。
盛岡の小さな会社だから、関係ないとは言えません
こうした事件が起きると、「大きな会社が狙われる話で、地方の小さな店には関係ない」と考えがちです。私も以前はそう思っていました。ただ、攻撃する側は相手の大きさを見ているわけではありません。弱点のあるサーバーを機械で探し、開いている扉から順に入ってくるだけです。今回のPHPの件で、弱点が公表されてから間もなく、それを狙ったとみられるアクセスが確認されたことが、それを物語っています。
岩手でも、盛岡でも、矢巾や花巻でも、ホームページやネットで仕事を受けている会社はたくさんあります。冬の前に屋根を点検するのと同じように、年に一度はネットの「下地」も点検する。そういう習慣が、これからは当たり前になっていくのだと思います。
まとめ
10月に起きた二つの出来事は、どちらも「見えないところの弱点」から始まりました。GMOの件は、預かっていた情報が人質に取られるという形で、PHPの件は、たくさんのホームページの土台に同時にひびが見つかるという形で、私たちに同じことを問いかけています。守りは1枚では足りない。重ねて、点検して、古くなったら入れ替える。そして、いざというときは目の前の損を引き受けてでも止める。それは、私たちが屋根の上で毎日やっていることと同じです。
屋根の上から見える景色と、画面の向こうの世界は、まったく別のものに見えます。それでも、雨も攻撃も、いちばん弱いところから入ってくる。その一点だけは変わりません。
当社では現地調査・ご相談は無料で対応しております。LINEで屋根の写真を送っていただければ、最短即日でお返事します。お電話は 019-656-8345 です。気になることがありましたら、お気軽にご相談ください。
瀧澤屋根工業 代表のタキサワでした。
参考資料
- GMOインターネットグループ「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第10報） https://group.gmo/info/alert/2026102703/
- PHP公式サイト（各バージョンの更新情報） https://www.php.net/
