/レンタルサーバー(ホスティングサービス)業者のトラブルについて2013.09.20レンタルサーバー(ホスティングサービス)業者のトラブルについてTweetサーバー屋さんがトラぶった!だれが悪い?損害補てんは?ヘッドラインサーバー屋さんがトラぶった!だれが悪い?損害補てんは?サーバー屋さんが泣きそうになる!主なトラブル2013年9月ロリポップが大規模なトラブルが発生したことから学ぶことロリポップのトラブルとは?WordPressの簡単インストールにおけるトラブルトラブルによるロリポップの対応ロリポの対応はまずかったのか?ロリポップの本トラブルにおける責任は?利用規約に損害賠償について書かれている損害賠償について今回のトラブルは重過失?ホスティングサービス利用者はいつも泣くのか?トラブル対策とは?どんな対策があるの?追記ファーストサーバー事件における内閣官房からの注意喚起文がありました。ファーストサーバー事件で損害賠償請求をしたらどうなる?重過失に問えるのか?自分の経験での利用規約トラブル関連ページコメント過去にホスティング事業を営んだ経験がある私ですが、サーバー屋さんをやっていれば必ずトラブルが発生します。情報改ざんなどなど様々なケースにおけるトラブルが発生します。2013年9月ロリポップが大規模なトラブルが発生したことから学ぶこと私はロリポップさんをそもそも契約していなかったので被害もなかったのですが、私の後輩がこのトラブルにより大変なことになりました。そのトラブルは、ロリポの対応などによりトラブルになったというより委託業者とのビジネス上、契約上の問題という要素が強かったのです。私はサーバーを扱っていた経験からヘルプがかかったのですが、上記のような問題が大きく、パスワード情報を知らないためサーバーに手を出せないということで後輩のビジネスの業務が止まりました。ロリポップのトラブルとは?2013年9月初頭にロリポップレンタルサーバーさんが大きなトラブルが発生、8000人以上に及ぶお客様のWEBサイトがおかしくなりロリポップが全体に影響が及ぶような設定変更を行いました。WordPressの簡単インストールにおけるトラブル今回のトラブルは、ロリポップさんがユーザさん向けに提供しているWordPress簡単インストールに関する問題から、インストールされたWordPressのDBに不正に接続しWEBサイトのデータを改ざんするというトラブルだったそうです。トラブルによるロリポップの対応ロリポップサイドでは原因を究明した時点で、解決すべく様々な対応を施しました。原因となったWordPress簡単インストールのリリースを一旦停止(現在は復旧したようです)、次にトラブルの原因となった設定ファイル(config.phpおよびinstall.php)のパーミッションを変更し、外部からの設定変更ができないように設定、そして最後に根本原因となったと思われるFollowSymLinks機能を停止したとのこと。ロリポップサイドはトラブル発生の期間中、インシデント情報をリリースしていたのだが、そのリリース文の表現がWordPressに問題があるような表現だったとのことで事後表現文を変更。端的に説明すると、ロリポサイドの簡単インストールツールと、パーミッション、そしてFollowSymLinksの設定がアタックしたら改ざんできるような組み合わせになってしまったことが原因だったようだ。この設定は2009年から続いていたようで、今回大々的にアタックを受けた形になった。ロリポの対応はまずかったのか?経験者から見たら、そして私の主観であることを前置きしたうえで、ロリポップが行った対応に関してはおそらくその時点でできる最大のトラブル対応で、実際に数日~1週間ほどサイトが運用できなかった方が数千人いるが、そのほとんどが復旧、また、現在も事後対応を行っているロリポップの対応はまずまずの対応で、おそらく最小の損害で済んでいると推測されます。規模の大きい業者なので対応速度も速く、復旧、そして、簡単インストールの修正と再リリースも十分な対応速度だったと言えるのではないでしょうか。これは、ふだんからなのか、トラブル発生中だったから、利用したことのない私にはわからないが、サポートにチャットでの対応があるが、ほとんど意味がなかった。先の後輩のトラブルで、ロリポップに事情説明と対応依頼を相談しようと思い利用してみましたが、結論で言うと、事情を聴いた後は100%同様の内容をメールフォームから投げてくれ。再三にわたり担当から返信が来て、チャットツールで解決した事案は0件だった。そのサポートのメールに対する返信は2~3日後と対応も遅かった。これは大きなトラブルが発生していて別要件の対応は仕切れなかっただけなのか、普段からこうなのか、わたしにはわからないが、少し残念に感じた一件だった。ロリポップの本トラブルにおける責任は?トラブルの発生源がロリポップが制作した簡単インストールツールであることは明確で、ロリポサイドも自分たちの作り方に問題があったと公式にリリースしていることからも、問題の発生源が自分たちであると、ロリポップも認識している。行えるのかということです。利用規約に損害賠償について書かれているほとんどどこのレンタルサーバー業者でも利用規約が定められ掲載されています。この規約には禁止事項や双方における損害賠償に関する定めなど書かれています。先に言っておきますが、『知らなかった』ではすみません。業者がトラブルを起こした際に損害賠償だ!と、言う前に、自分自身がトラブルを起こした場合は、業者から多大な損害賠償を請求される可能性もあるのです。自分の用途に合ったサーバーはスペックやバージョンだけではなく、利用規約上も用途に合っているかどうかを確認する必要があるのです。今回のロリポトラブルはどうなるのでしょう。私は法律家でもありませんし、正しいとは限りませんが私はそう考えますということだということをお忘れなく。損害賠償について損害賠償についてどのようにロリポップは書いているかと言いますと、ロリポサイドは基本的には責任は負いません。基本的にはというのは、ロリポップサイドに重過失があった、もしくは故意に損害を被らせるような行為があった場合のみ損害賠償請求に応じる場合があると書いてあります。これは、決してロリポップだけがそうなのではなく、ほとんどどのサーバー業者さんも同様でしょう。大事なのは、その額面です。ロリポップが応じるのは本契約であれば利用金額の1年分まで、お試し期間中なら1ヶ月分までの範囲で応じる場合があると書いてあります。仮に、1日100万円の売り上げをロリポップサーバーで展開するWEBサイトで計上していて、サーバートラブルにより売り上げが0円になったからと言って、100万円の損害賠償は利用規約上はロリポップサイドは応じません。しても納得がいかない場合裁判ということになりますが、おそらくですがロリポップ側が勝利するのではないかと思います。利用規約には損害賠償に関する定めも明記しており、申し込む際には利用規約を承諾したうえで申し込むようにロリポップは様々なところに明記しています。それを知って申し込んだはずなのにトラぶったから賠償請求というのは認められませんというのが基本的な考えになるのではと思います。先ほど書いたようにロリポサイドに故意または重過失があった場合は別かもしれません。今回のトラブルは重過失?さすがに今回のトラブルが故意であるとはだれも思っていないでしょう。重過失に該当するのではないか?と、お考えの方もいるでしょう。ポイントはやはり『重過失』なのかどうなのかというところです。重過失とは、その行為(今回の場合は、簡単インストールの仕様)が一般人でも容易に判断するであろうトラブルがわかっているにもかかわらずリリースしたような場合に重過失とみなされるようです。わかりやすいもので言えば飲酒運転や30km/h以上のスピード違反、赤信号無視などで事故を起こした場合は重過失とみられます。確信犯のようなものでしょうか。今回のロリポップのトラブルは一般の方が容易に判断できるようなトラブル。言えないのではないでしょうか。サーバーに携わる者、セキュリティ担当者、ハッカーであれば容易に想像がついたかもしれません。重過失ではないのか?とも言えます。2009年から13年まで大きなトラブルとなることもなく4年以上リリースされていたことを考えると、本当に小さな小さな穴を見つけたクラッカーがアタックを仕掛けてきたものと言えますので、プロでも気づきにくいトラブルだったのかと思います。裁判をしたとしてもそういう判断になる可能性が高い気がします。(もちろん法律家でもないですし、実際に利用もしていないのでそう思うというだけです)ホスティングサービス利用者はいつも泣くのか?ほとんどの場合今回のトラブルでもろに影響を被った方は、『じゃあ、俺らは泣き寝入りするしかないのか!いつも業者が強いのか!』と、言われます。結果だけを見ればそう見えます。かんがえてみてください。月間数百円のサーバーで何万も、何十万も何百万も売り上げを上げているのに、トラブル発生した場合の対応を定めていないことに問題はありませんか?なぜ泣き寝入りしなければいけないのかを冷静に整理して考えるとそういったことにつながります。絶対止まらないサーバーなんて言うものはありません。止まらないサーバーと謳っているサーバーサービスもありますが、それは、機械が止まらないのではないです。機械が止まってもうごくように二重化したりキャッシュを持ったり様々な方法で止まっていないように見せる機能を持っています。そのようなサービス提供事業者でもお客様の運用における損害を補てんするようなサービスはまず見かけたことはありません。あるとしたら、特別に契約書を交わす場合くらいではないでしょうか。してもそこまでしておきたいのであれば、利用規約に承認するのではなく個別に定める契約書を準備して契約してください。することでもしかしたら認められることもあるかもしれません。それらよりもっと大事なことがあります。トラブルはいつか必ず発生するものです。自然災害と同じで0%ということはまずありません。1%なのか0.1%なのか0.0001%なのか。業者によって違うでしょうし、トラブルの大小も違いますが、いつか必ず発生します。そのリスクをかんがえ、発生時に自分はどうするのかを考えておかないことが損害を広げたともいえるのです。トラブル対策とは?一番大きなトラブルは貴方のホームページに接続できなくなること、メールの送受信ができなくなることではないでしょうか。原因は何であれ、つながらないというトラブル以上のトラブルはありません。情報が盗まれたというトラブルはもっと大きいトラブルですが、それはセキュリティ対策をしていないという別次元の原因ですので、今回のこの記事のトラブルではありません。どんな対策があるの?トラブル対策は様々な方法があります。簡単で実際に発生してもそれなりに復旧しやすいのがデータのバックアップ、復元方法を定めておくことです。そのバックアップも該当サーバーがトラブルを発生しても、影響の受けない場所・業者・機械に保存することが大事です。(ディザスタ・リカバリ)バックアップ・復元方法を定めてあり、毎日1回でもバックアップを取ってあれば最悪の場合でもバックアップ取得時間に書き戻し別のサーバーで復元可能です。大事なのは復元方法をしっかりマニュアル化し、日々訓練しておくことでしょうか。『そんなことやってらんねー』とよくいわれます。自動かすることもできますし、先ほどのような二重化三重化することでトラブルを軽減することもできるのです。それらは費用も掛かります。仮に売り上げを1日100万円も上げているのに、何も対応していない、トラブル対策費が0円なのであれば、トラぶっても泣き寝入りするしかないと思いませんか?もっとも良いのがバックアップ、復元ルールを定め実際に何度もテストしいざという時に備えておくことです。ほかにもありそうですが、これいじょうのいい方法が私には思いつきませんので、思いついた時にまた追記します。追記ファーストサーバー事件における内閣官房からの注意喚起文がありました。思い、ファーストサーバーデータ消失事件のことをいろいろ調べていたら、内閣官房情報セキュリティセンターより各省庁に注意喚起文が流れていました。こちらからご確認!基本的に、サーバー屋さんはデータのバックアップは保証していないので自前でやらなきゃいけないよっと、各省庁に促して、バックアップ・復旧に関して検討しなさいと注意されていますね。ファーストサーバーの事件の時はよくバックアップに関する部分を受けてくれないか。がれているのもあって、事業の継続性を担保できるようなバックアップ体制という結構大がかりな問い合わせも来るようになりましたね。ファーストサーバー事件で損害賠償請求をしたらどうなる?こちらは法律家がおそらくこうならないかな?と書いた記事を見つけました。こちらから確認!やはり、規約上、なかなか請求しても損害額満額は取れないようです。重過失に問えるのか?この事件で仮に裁判で、重過失を争ったらどうなるのか?ということを考察された方の記事です。こちらから確認!ミスにミスが重なって大事故になったことは事実ですが、法律で定められている重過失とは認められないのではとのことです。ファーストサーバーに落ち度があったのは間違いのないことですが、それと、重過失と認められることとは別です。損害賠償請求に関し、ファーストサーバー利用規約・約款では、お客様支払額を上限に応じると記載されており、この記載の無効を求める裁判は。記事を興している方が多数います。重過失と認められない可能性が高いことと、過去の判例からしても、今回のケースで規約条項の無効は退けられる可能性が高そうです。現在のサーバー業界のあり方が絶対正しいとは言いませんが、現状の日本のサーバー屋さんのほとんどが預けてあるデータに関しては無保証であると謳っている状況で、トラブルが発生したときだけ損害額が。