週末に当サイトがハッキングされ、クライアントデータの損失が発生しました。サイトの再構築を完了し、現在は正常に機能する状態に戻っています。
当社の多くのクライアントが、WPMLプラグインの脆弱性に関する非常に不安を煽るメールを受け取られました。このメールは、当サイトに侵入した攻撃者が当社のメーラーを使用して送信したものです。言うまでもなく、このメッセージは当社から送信されたものではありません。このようなメールを受け取った場合は、削除してください。ハッキングされたメール内のリンクをクリックすると、さらなる問題を引き起こす可能性があります。
当社はwpml.orgをアップデートし、すべてを再構築して再インストールしました。管理画面へのアクセスは2要素認証を使用して保護し、Webサーバーがファイルシステムに対して持つアクセス権を最小限に抑えました。
これらは、今回のハッキングに対する直接的な対応というよりも、予防措置としての意味合いが強いものです。当社のデータによると、ハッカーは内部情報（古いSSHパスワード）と、当社の従業員であった時期に自身のために残した抜け穴を使用したことが判明しています。
今回のハッキングは、WordPress、WPML、またはその他のプラグインの脆弱性を介して行われたものではなく、この内部情報を使用して実行されました。いずれにせよ、被害は大きく、すでに起きてしまったことです。
明確にしておきたい点は以下の通りです。
- お使いのサイトで実行されているWPMLプラグインには、この脆弱性は含まれていません。
- お支払い情報が漏洩することはありませんでした（当社では保存していません）。
- 侵入者はお客様の名前とメールアドレスを入手しており、WPML.orgのアカウントにアクセスできる可能性があります。
- 侵入者は確かにサイトキーを盗みましたが、それらは役に立ちません。サイトキーは、お使いのサイトがwpml.orgからアップデートを取得するためのものです。侵入者がこれらのキーを使用して、お使いのサイトに変更を加えることはできません。
現在、すべてのクライアントにwpml.orgのアカウントをリセットすることをお勧めしています。これを行うには、アカウントにログインしてください。攻撃者が依然としてあなたを騙すためにメールを送信している可能性があるため、メール内のリンクはクリックしないでください。ログインするには、ブラウザを開き、https://wpml.orgと入力してログインします。
今回の侵害後、さらに追加の対応が必要になる可能性が高いと考えています。今週初めに、より完全な概要を記載したフォローアップメールをお送りします。
当然のことながら、このような事態を招いた責任について深くお詫び申し上げます。当社のチームは、お客様が必要とするあらゆるサポートを提供いたします。ここにコメントを残すか、お問い合わせフォームを使用して直接当社にご連絡ください。
