Blog
自分のサーバーのアクセスログを最後に見たのはいつでしょうか。見たことがある人は、たいてい一度驚いています。見たことがない人は、いま驚く番です。
自分のサーバーのアクセスログを最後に見たのはいつでしょうか。見たことがある人は、たいてい一度驚いています。見たことがない人は、いま驚く番です。
当社では毎朝04:00に、miraiGen.™Cube の中で働く AI に、外から来た不審なアクセスを集計してもらっています。直近の1週間分（2026年10月16日から23日まで）を数えると、こうなりました。
公開しているのは会社のサイトと通販のサイトで、特別に目立つものではありません。それでも毎日700回ほど、何かを探す動きが来ています。
数字の意味を正しく書いておくと、これは攻撃を受けた回数ではありません。中身のある攻撃ではなく、ほとんどが「これが置いてあるか？」と当てて回る動きです。記録では30件すべてが「届いていない」と判定されています。
この数字は見込み客からのアクセスより多いです。当社のサイトを本当に見に来てくれる人の数より、何かを探して回る機械のほうが圧倒的に多い。皮肉な話ですが、これが公開しているサイトの実情です。
ここは注目しておくべきところだと思います。「うちのサイトはそんなにお客さんが来ないから心配ない」ということにはなりません。探して回る側は、そのサイトに客が来ているかどうかを見ていません。ドメインの一覧を機械で順に当てているだけなので、知られていないサイトにも同じように来ます。むしろ訪問が少ないサイトほど、ログを見る習慣が無いぶん気づかないのではないかと思います。
何を探しているのかを分けると、はっきり偏っていました。
| 探しているもの | アクセス元の数 |
|---|---|
| .env（接続情報を書く設定ファイル） | 19 |
| クラウドの鍵 | 4 |
| PHPUnit の遠隔コード実行 | 3 |
| WordPress の管理画面 | 1 |
| WordPress の XML-RPC の悪用 | 1 |
| 古い CGI の穴 | 1 |
| git リポジトリの流出 | 1 |
6割以上が .env を探しています。データベースのパスワードや外部サービスの鍵を書くファイルで、本来は配信されない場所に置くものです。ここが読めてしまうと、サーバーに入らなくても中身を持っていかれます。
探し方も単純で、.env だけでなく .env.1 や .env.backup のように、少し名前を変えたものを片っ端から当ててきます。1か所から1469回来ていたものがありますが、これは同じファイルの名前を変えながら総当たりしているからです。
つまり狙われているのは脆弱性ではなく、置き忘れと消し忘れです。本番に上げるときに消したつもりのファイル、バックアップとして横に置いたファイル、本番に紛れ込んだ開発用のファイル。機械で当てて回るのは容易なので、数が多ければどれか1つは当たります。
集計そのものは珍しいことではありません。当社でやり方を変えたのは、前の日と比べるところです。毎朝、前日の記録と見比べて次の3つを別枠で知らせてもらっています。
3つ目が本題です。何回叩かれたかは大きな問題ではありません。叩かれるのは公開している以上あたり前で、止めることもできません。問題になるのは、叩かれたときに何かが返ってしまった場合だけです。回数を追っていても、そこは見えません。前の日と比べて初めて「今日からここが返っている」と分かります。
もうひとつ気づいたことがあります。この手の動きが集まるのは、インターネットに直接出している面だけです。社内だけで使っているものは、この面に出てきません。当社の業務の仕組みは社内に置いてあるので、毎朝のこの表にはそもそも登場しません。外に出す面を減らすというのは、そういう意味でも効きます。
叩かれる回数は減りません。減らせるのは、叩かれたときに返るものの数です。