掲載日:2019/01/18更新日:2019/03/01#セキュリティソリューションWebフォーム作成メールフォームの脆弱性をそのままにしておくと、サイバー攻撃による情報漏洩のリスクが高まります。大切なのは、サイバー攻撃の種類とその対策方法を知ることです。それぞれ解説しますので、セキュリティ対策の参考にしてください。主なサービスのセキュリティについてSSL暗号化による通信への対策方法その他のセキュリティ対策方法まとめメールフォームへのサイバー攻撃のリスクメールフォームのセキュリティを怠ると、サイバー攻撃のリスクが高まります。サイバー攻撃を受けると、どのような悪影響があるのでしょうか?企業のイメージダウン悪意を持った第三者によるサイバー攻撃で、企業の持つ個人情報が漏洩した、という事件が後を絶ちません。したニュースを目にしたとき、企業に対するユーザーの信頼度は低下していきます。預かった個人情報を管理できない企業・個人情報を大切に扱えない企業と認識され、築いてきた信頼を失うことになるのです。った信頼は、そう簡単に取り戻せるものではありません。インターネット上には、悪評がずっと残り続けます。すると、情報漏洩自体は過去のことで、現在は十分なセキュリティ対策をしていても、サイバー攻撃で情報漏洩させた企業と言われ続けるのです。結果、目に見えない機会損失が起こる可能性があります。過去の情報漏洩についての噂を知り、利用を控えるユーザーが一定数発生することもあるのです。多額のコストサイバー攻撃を受け、情報漏洩などの被害が出ると、目に見えない信頼や機会を失うだけではなく、多額のコストもかかります。主なコストは下記の通りです。損害賠償請求にかかる費用システムの修復にかかる費用また、これまでセキュリティ対策が十分ではなかった場合、新たにセキュリティ対策をするための費用もかかります。対策をしていた場合でも、サイバー攻撃に対する脆弱性があったわけですから、その対策にかかる費用が必要です。セキュリティ対策が不十分だと、想定外のコストがかかってしまい、経営を圧迫する可能性があります。クラウドメールのセキュリティは大丈夫?気をつけるべきポイントとはメールフォームの脆弱性を狙った攻撃例サイバー攻撃には様々なタイプがあります。ここでは、メールフォームの脆弱性を狙った、SQLインジェクション・クロスサイトスクリプティング・迷惑メールについて解説します。SQLインジェクションSQLインジェクションは、データベースを動かすために使う『SQL言語』を注入(=インジェクション)することで、アプリケーションに本来とは違う動作をさせるサイバー攻撃です。メールフォームに入力された情報は、サーバーで受け取られてデータベースに登録されます。この仕組みを利用し、メールフォームに『SQL言語』を入力すると、自動的に『SQL言語』がデータベースに登録されてしまうのです。するとデータベースは本来とは異なるエラーを起こしてしまい、結果、個人情報の漏洩につながってしまいます。クロスサイトスクリプティングクロスサイトスクリプティングは、ホームページを操作することで、本来とは違う動作をさせるサイバー攻撃です。サーバーに入ることなく、ホームページの見た目も動作も変えてしまいます。意図していない場所にJavaScriptを実行するコードを埋め込んで操作してしまう攻撃で、PHPを使用している際に真っ先に対応が必要といえます。メールフォームに、スクリプトと呼ばれるプログラムを送信することで行われる攻撃です。そのため、対策にはスクリプトを単なる文字列に変換し無害化する方法があります。迷惑メールメールフォームを通して、迷惑メールが送信されることがあります。この場合、最も有効な対策は、迷惑メールを送信する際の手間を増やすことです。手間が増えれば、迷惑メールの送信を自動化できなくなるので、迷惑メールが減ります。確認画面の設置や画像認証をメールフォームに取り入れて、自動で送信できない仕組みにしましょう。主なサービスのセキュリティについて主なフリーのメールフォームサービスでは、どのようなセキュリティ対策が取られているのでしょうか?代表的なGoogleとWordPressのセキュリティについて紹介します。Googleの場合Googleは提供している全てのサービスで、世界最高水準といわれるセキュリティ対策を行っています。多くのユーザーが利用するサービスだからこその対策が行われているのです。Googleでの主な対策には、下記があります。迷惑メールの99%以上をブロックまた、Googleでは、インターネット全体を安全な場所にする取り組みも行っています。Googleで取り入れているセキュリティ技術を他社と共有することで、インターネットに関わる全ての企業の技術水準向上を目指しているのです。業界全体の技術が向上すれば、それだけ安心してインターネットを利用できる環境が整う、という考えから継続的に技術の共有が行われています。Googleフォームのセキュリティは万全?サポートや自己対策法WordPressの場合WordPressでは、サイバー攻撃がつけいる隙をなくすために、アップデートでプラグインのセキュリティホールを改善しています。セキュリティホールとはコンピュータソフトウェアの欠陥のことです。WordPressの代表的なメールフォームのプラグインは、代表的なセキュリティ対策であるSSLに対応していません。その理由は、SSLに対応させることで生じるプラグインの脆弱性を懸念しているからです。セキュリティ対策のためのSSLが、本来プラグインに備わっている動作処理を邪魔してしまい、サイバー攻撃に弱くなってしまう可能性があります。そのため、WordPressのメールフォームではSSLに対応していませんし、その状態で使用するのが適切と判断されているのです。代表的なセキュリティ対策に、SSL暗号化があります。SSLとはどのような技術なのでしょうか。特徴と電子証明について解説します。Layer」の略で、メールフォームに入力した情報をサーバーに送信するとき、暗号化して送信する技術です。ホームページからサーバーまでの間で、情報漏洩が起こるのを予防します。SSLに対応しているホームページを訪問すると、サーバーからユーザーへ『公開鍵』が送られます。入力した情報は、『公開鍵』を使って暗号化されるのです。暗号化された情報がサーバーに届くと、今度は暗号を解読できる情報に復元します。この時使われるのが『秘密鍵』です。SSLに対応しているかどうかは、URLを見るとすぐに分かります。入力された情報を暗号化したり、暗号を元の形に戻したりするのに、重要な役割を果たします。電子証明書の種類は、下記の3つです。Validation(EVドメイン認証)どれも、サーバー証明書の所有者がドメインの使用権の所有を認証します。違いは、証明書発行時の照会の厳密さです。Validation(EVドメイン認証)』の順に照会が厳しくなります。レンタルサーバーで提供される共用SSLサービスは、レンタルサーバーの事業者が取得した電子証明書を共有する仕組みです。そのため、メールフォームに共用SSLを使うと、URLのドメインがレンタルサーバーのものに変わります。安心して利用してもらうために、共用SSLサービス利用のアナウンスをするとよいでしょう。フォームで「保護されていません」と表示される!SSLや主な対策についてその他のセキュリティ対策方法セキュリティ対策には、他にも、ファイアウォール・WAF・IPSがあります。それぞれの仕組みについて知り、メールフォームのセキュリティ対策に活かしましょう。フォームのセキュリティについて考えよう。主なリスクや対策とはファイアウォールファイアウォールは直訳すると防火壁という意味です。インターネット通信の中で侵入できそうな場所を防火壁で閉じ、サイバー攻撃を受けないようにするセキュリティ対策の方法を指します。インターネット通信では、通り道を『ポート』、伝達方法を『プロトコル』といいます。『ポート』と『プロトコル』のルールに則って、情報の送受信が行われるのです。送受信のために全ての『ポート』と『プロトコル』が使われるわけではありません。未使用状態の『ポート』や『プロトコル』を通れなくして、サイバー攻撃に利用されないようにするのがファイアウォールの役割です。そのため、ファイアウォールを使うことで、通り抜けできそうな『ポート』からサイバー攻撃をしかける、ポートスキャンを予防できます。WAFWAFは、通信をリアルタイムで監視して、サイバー攻撃のパターンを見つけると、情報の送受信をストップする仕組みです。通信自体をストップすることで、情報漏洩を防ぎます。ファイアウォールで侵入経路を閉じたり、IPSで不正な通信を防いだりしても、SQLインジェクションやクロスサイトスクリプティングは防げません。これらのサイバー攻撃に対処するのが、WAFなのです。WAFは、通常のアクセスと不正アクセスの違いを、過去のデータベースを元に判断します。そのため、開放されているポートに1度だけアクセスするだけでサイバー攻撃ができる、SQLインジェクションやクロスサイトスクリプティングを防げるのです。IPSIPSはファイアウォールで防いでいない『ポート』を狙ったサイバー攻撃に対処する方法です。IPSが有効な攻撃に、DoS攻撃があります。DoS攻撃は1秒間に数千回ものアクセスをすることでサーバーに負荷をかけ、アクセスできない状態にしてしまうのです。IPSでセキュリティ対策をしていると、DoS攻撃を不正なアクセスとリアルタイムで感知します。アクセス元からの通信を遮断するのです。サイバー攻撃は、通常の通信で使用している『ポート』からも行われます。した攻撃にはファイアウォールでは対処できません。そのため、IPSを併用して、セキュリティの抜けができないようにするのです。添付ファイルには注意が必要メールフォームでは、添付ファイルに注意が必要です。添付ファイルを送信できるメールフォームもありますが、悪意の第三者によるサイバー攻撃に利用される可能性があります。そのため、添付ファイルへの対策が十分にできないなら、メールフォームに無理して添付ファイルの送信機能をつける必要はありません。メールフォームでまずはお問い合わせしてもらい、必要に応じて、その後のやり取りで添付ファイルを送信してもらえばよいのです。まとめメールフォームのセキュリティは、企業の信頼にも関わることです。そのため、万全の対策をしておかなければいけません。SQLインジェクションやクロスサイトスクリプティングといった、サイバー攻撃の特徴を知り、それぞれに対策しましょう。メールフォームサービスを利用することで、HTMLやCSSがわからなくても簡単にフォームを作ることができるようになります。メールフォームサービスを利用する場合は、そのサービスで行われているセキュリティ対策をチェックしましょう。セキュリティが甘いサービスの利用は避けるのが賢明です。ユーザーが安心して使えるメールフォームにするために、セキュリティ方法について知り、自社ホームページのメールフォームの対策をしましょう。記事一覧メールフォームのセキュリティリスクは?担当者が知るべき対策方法Webフォーム作成に戻る一部IP電話等で上記ダイヤルに繋がらない場合は、03-5575-6601におかけください。(通話料金がかかります。COMPANY|内部通報窓口(外部リンク)。