古いEC-CUBEを使い続けるセキュリティリスク

「古いバージョンのEC-CUBEを使い続けているが、特に問題は起きていない」という声をよく聞きます。しかし、表面上は問題なく動いているように見えても、セキュリティ上のリスクは日々高まっています。この記事では、古いEC-CUBEを使い続けることの具体的なリスクを解説します。

Contents

サポート終了＝脆弱性が放置される

EC-CUBEは各バージョンごとにサポート期間が設定されており、サポートが終了したバージョンにはセキュリティパッチが提供されなくなります。

サポートが終了すると、新たな脆弱性が発見されても修正プログラムが提供されません。つまり、既知の攻撃手法でサイトが狙われても、自分で対処するしかない状態になります。

EC-CUBEを狙った攻撃で最も深刻なのが、顧客の個人情報やクレジットカード情報の漏洩です。古いバージョンにはSQLインジェクションやXSSなどの脆弱性が残っており、攻撃者に悪用されるリスクがあります。

実際に過去には古いバージョンのEC-CUBEを使用していたショップでカード情報が漏洩し、被害が報告されたケースがあります。カード情報が漏洩した場合、ショップ側は決済サービスの停止や損害賠償リスクを負います。

不正アクセスによりサイトのHTMLやJavaScriptが書き換えられるケースがあります。見た目は正常に見えても、フィッシングサイトへの誘導コードや不正なスクリプトが埋め込まれていることがあります。

改ざんされたサイトはGoogleのセーフブラウジングに検知され、「このサイトは危険です」という警告が表示されることがあります。そうなると検索順位の大幅な低下や、顧客からの信頼失墜につながります。

サーバーに不正ファイルを設置され、大量のスパムメール送信の踏み台として悪用されるケースがあります。この場合、ショップのサーバーIPアドレスがブラックリストに登録され、正規の注文確認メールが届かなくなることがあります。

「うちは小さいショップだから狙われない」と思っている方も多いですが、実態は異なります。現在の攻撃の多くは自動化されており、脆弱なシステムを持つサイトを機械的にスキャンして攻撃します。ショップの規模や知名度は関係ありません。

むしろ、セキュリティ対策が手薄な小規模ショップの方が狙われやすい面もあります。

EC-CUBEだけでなく、PHPのバージョンも重要です。古いEC-CUBEは古いPHPバージョンでしか動作しないことが多く、PHPのサポートが終了した状態で運用しているケースがあります。

PHPのサポートが終了している状態でEC-CUBEを動かすことは、二重のリスクを抱えることになります。

「費用がかかるから後回し」にしがちなバージョンアップですが、実際にセキュリティインシデントが起きた場合のコストは比較にならないほど大きくなります。

バージョンアップの費用を「コスト」と捉えるのではなく、リスク回避のための「投資」と考えることが重要です。

古いEC-CUBEを使い続けることは、個人情報漏洩・サイト改ざん・スパム踏み台など具体的なリスクを抱え続けることを意味します。「今のところ問題ない」という状態は、リスクがないのではなく、まだ被害が表面化していないだけです。

バージョンアップのタイミングは早いほど良く、被害が起きてからの対応は手遅れになることもあります。現在のバージョンが気になる方は、まずは無料でご相談ください。