ことの発端は全てのXサーバーにアクセスできなくなったことでした。
困り果ててXサーバーのサポートに連絡したところ以下の返信がきました。
本件につきまして、担当部署にて調査をいたしましたところ IPアドレス「XX.X.XXX.XXX」をご利用環境からの不審なSASL認証を 多数検知したことで、弊社側にて当該IPアドレスの接続を一時的に 制限している状態であることを確認いたしました。 つきましては、当該IPアドレスの制限を解除いたしましたので 改めて接続が可能であるかについて、ご確認くださいますでしょうか。
めちゃくちゃ怖い内容ですので、さらに詳細を問い合わせたところ、さらに怖い回答が…。
本件につきまして、担当部署にて確認をいたしましたところ 今回は弊社の複数サーバーにまたがって、 不特定多数のメールアカウントに対する接続試行（失敗）が行われおり 意図的にクラックを試みている可能性が高い状況でございました。 そのため、IPアドレス「XX.X.XXX.XXX」をご利用の端末側にて ウィルスやスパイウェア、アドウェア等のセキュリティチェックを実施し 問題ない状況であることをご確認くださいますようお願いいたします。
怖い内容であるのは間違いないのですが、具体的にはどういうこと？？という感じでイメージがわきませんので、しつこく問い合わせをしてしまいました。
具体的にどうしたのですか？IPアドレスの乗っ取り？それとも偽装？
ご質問の件につきまして、ご利用のIPアドレスが乗っ取られていたのかについては 弊社側にて判断することはかないませんが、どちらかというと当該IPアドレスを 使用して接続している端末および環境を利用して、 不特定多数のメールアカウントに対する接続試行(失敗)が行われているため IPアドレス「XX.X.XXX.XX」をご利用の端末において、 セキュリティチェックをご案内した次第でございます。
分かりやすく言うと「IPアドレスを悪用され、さらに不特定多数のメールアドレスへの乗っ取りを試みられた」ということのようです。
具体的に考えられるのは
- PCもしくはルーターやipadやゲーム機などのネットワークに侵入され、インターネット環境を利用された。
- IPアドレスの番号を偽装に使われた
のどちからかです。
偽装ならネットワークに侵入されていないので心配は少ないですが、機器の乗っ取りでしたら今後も侵入される可能性や、他にも抜かれた情報がある可能性もあり大変な事態です。
IPを偽装された可能性はないのでしょうか？
Xサーバーの回答
上記につきまして、明確な状況については 当サポートにて精査することは困難でございますが 仰せのようなご状況（偽装に利用された）である可能性は考えられるかと存じます。
どんな情報が漏れた？
ネットワークに侵入するかIPを偽装した上で、メールアドレスが分かってるところに対してパスワード総当たりでメールアカウントの乗っ取りを試みたということのようですので、IPアドレスは確実に漏れているでしょう。
Xサーバーへのアクセスは特定のIPアドレスでしかログインできないようにしていますが、IPアドレスを乗っ取られてしまっては意味がありません。
FTP情報を抜かれてサーバーへの乗っ取り攻撃だったり、PCを乗っ取ってサーバーへ接続したりするような大掛かりものではなかったのは不幸中の幸いかもしれません。
IPアドレスはどこから漏れた？
IPアドレスが漏れたのはどのような経緯が考えられるのでしょうか？
例えばスパムメールからの侵入や、IPアドレスを総当たりされてたまたま侵入された…などでしょうか。
スパムメールはまあまあ来ますが、開けないように気を付けていますし、ましてや添付ファイルを開いたり、URLをクリックしたりは絶対にしていません。
Xサーバーの回答
経路といたしましては、例えばスパムメールからの侵入や IPアドレスを総当たりされたことでたまたま侵入されたなどが 考えられますが、明確な状況についてはご案内がかないませんこと 何卒ご了承くださいますようお願いいたします。
IPアドレス悪用再発防止、被害拡大を防ぐのための対策は？
取り急ぎPCのウイルススキャンを行いましたが問題なし。
ルーターのアクセス履歴を見ると不明なアクセスがいくつかあったのでアクセスできないようにしました。
Xサーバーからは「パソコンのセキュリティチェックを行ってください」とだけ指示がありましたが、それは頻繁に行っています。それだけで良いのでしょうか？
パソコンのウイルススキャンはもちろん、IPアドレスの変更や、ルーターのパスワードの変更などは行った方が良いです。
Xサーバーへのアクセス許可IPの削除
IPが流出してしまった以上、特定のIPアドレスのみがサーバーに接続できるようになっているのは意味がないどころか逆に危険ですので、該当IPからの接続許可を削除します。
FTPなどでのアクセスは行わず、Xサーバーのファイルマネージャーを介してサーバーにアクセスします。
グローバルIPを変更したい
悪用されたのはグローバルIPですので、ルーターレベルで変更できるLANのIPアドレスやPCのIPアドレス（プライベートIP）を変更しても意味がありません。
グローバルIPはプロバイダーから自動的に割り振られているものです。基本的には動的なIPアドレスとなり不定期で変更があります。（有料にて固定IPアドレスにすることもできます。）
わざわざプロバイダーに問い合わせなくても、変更することが可能なようです。
まとめ
IPアドレスが悪用されるとしたら
- PCもしくはルーターやipadやゲーム機などのネットワークに侵入され、インターネット環境を利用された。
- IPアドレスの番号を偽装に使われた
のどちらかであり、サーバー会社でどちらか特定するのは難しい。
IPアドレスの悪用で最悪なのがネットワークへの侵入。以下の事を確認しましょう。
- PCやipadなど接続機器のウイルスチェック
- ルーターに不審な接続が無いか確認。あった場合は接続できないようにする。
- IPアドレスの変更を行う
