MonsterInsightsサイトが侵害され、フィッシングメールを送信

概要

人気のWordPressプラグインであるMonsterInsightsのウェブサイトが攻撃を受け、ハッキングされたと報じられています。現在、同サイトはオフラインになっており、顧客にフィッシングメールを送信しているとされています。

MonsterInsightsは、200万以上のウェブサイトに無料版がインストールされており、合計300万サイトで利用されているWordPressプラグインです。ユーザーのGoogle Analytics（GA）アカウントと連携し、WordPressダッシュボード内でウェブサイトのトラフィックに関するインサイトを提供します。

公式ウェブサイトのホームページは、「攻撃に対処中のため、ウェブサイトはオフラインです」という通知に置き換えられています。ユーザーの分析とトラッキングには影響がないとされています。

しかし、「既知のフィッシングの試みが発生しているため、サードパーティサイトからMonsterInsightsをダウンロードしないでください」と警告しています。

プラグインのユーザーからは、MonsterInsightsを装ったフィッシングメールを受け取ったとの報告がFacebookやX（旧Twitter）上で確認されています。

MonsterInsightsはX上で、「現在攻撃に対処中です。既知のフィッシングの試みが発生しているため、いかなるサードパーティサイトからもMonsterInsightsをインストールしないでください」と改めてユーザーに警告を発しました。

解説

今回のMonsterInsightsへの攻撃は、非常に広く利用されているWordPressプラグインでさえ、サイバー攻撃の標的になり得ることを示しています。特に、ウェブサイトの分析データにアクセスするGoogle Analytics連携機能を持つプラグインであるため、その影響は広範囲に及ぶ可能性があります。

ユーザーにとって最も重要なのは、MonsterInsightsを装ったフィッシングメールには決して反応しないことです。メール内のリンクをクリックしたり、個人情報やログイン情報を入力したりすると、さらなる詐欺や情報漏洩につながる危険性があります。不審なメールは速やかに削除し、報告することが賢明です。

また、公式ウェブサイトがダウンしている間は、絶対にサードパーティサイトからMonsterInsightsプラグインをダウンロードしたりインストールしたりしないでください。これらのサイトからダウンロードされたプラグインには悪意のあるコードが含まれている可能性があり、自身のウェブサイトがマルウェアに感染するリスクが非常に高まります。

この件は、ウェブサイト運営者が使用しているすべてのプラグインやテーマのセキュリティを常に意識し、公式ソースからのダウンロードを徹底することの重要性を再認識させるものです。定期的なバックアップと、セキュリティアップデートの迅速な適用も、常に最優先事項として行うべき対策です。