誰も来ないはずのサイトに、99回のログイン失敗が

さて、サブスク型のサービスを一から立ち上げているのですが、1日のログイン失敗回数がなかなかの数字になっています。 まだ認知もされておらず、サービスを利用している人もほとんどいない。それなのに、ログイン失敗の記録はしっかり残っている。1日に99回？ そんなことも知らないのか、と言われるかもしれませんが、実際に経験して初めて気づいたことがあったので、少し書いてみようと思います。 不正アクセスへの対策として、管理用IDを変更しました。推測されにくいよう、ランダムに組み替えた文字列です。 ところが、変更後のレポートを確認して驚きました。 変更したはずの管理用IDが、ログイン試行の対象になっていたのです。 もちろん、これだけで侵入されたということではありません。ただ、自分では推測されないだろうと思っていたIDが、すでに外部から確認できる状態だったことが分かりました。 私が利用しているのはWordPressです。 調べてみると、WordPressには、サイトの情報を外部から参照するための標準的な仕組みがあります。設定や公開範囲によっては、そこからユーザーに関する情報を確認できる場合があるそうです。 今回のケースでも、管理用IDが外部から確認できる状態になっていました。 つまり、IDを複雑にするだけでは、必ずしも非公開にできるとは限らないということです。 自分では隠しているつもりでも、システムの仕組みや設定によって、意図せず情報が見えていることがある。 使っているツールのすべてを理解することの難しさを、あらためて痛感しました。 おそらく、サイトの情報を収集し、ログインを繰り返し試すような処理が自動化されているのではないかと考えています。ただし、実際にどのような経路でIDが取得され、今回の試行につながったのかまでは、まだ確認できていません。 そして、もう一つ考えさせられたことがあります。 それは、顧客の情報をどこまで保有する必要があるのか、という問題です。 個人情報の取り扱いが問われる昨今、サービスの運営に必要な情報は保持しつつ、それ以外は極力持たない。そうした方針は、やはり大切なのだと実感しています。 もちろん、情報を減らせばすべてのリスクがなくなるわけではありません。それでも、保有する情報を必要最小限に抑えることは、万が一の際の被害を小さくすることにつながります。 技術が進歩すれば、便利なサービスを個人でも作れるようになります。一方で、その便利さを支える仕組みには、思いもよらないリスクが潜んでいることもある。 便利になることと、リスクが増えること。 こうしたトレードオフが存在することを、実際にサービスを運営するなかで、あらためて考えさせられています。