個人サイトが1か月で33万回攻撃されていた

1. まず数字

このサーバーの実際の読者は 1日に数人です。人間の訪問者1人に対して、機械が 2,000〜3,000回ログインを試している計算になります。

2. 何のユーザー名が狙われたか

ログイン試行に使われたユーザー名を多い順に並べると、攻撃の性格がはっきり見えます。

この一覧に、私が実際に使っているユーザー名も 6,039回含まれていました。ドメインの登録情報などから名前を推測して試すパターンです。「珍しい名前だから安全」は成り立ちません。

3. どこから来ているか

攻撃元は 864 個の異なるIPアドレスに分散していました。上位を挙げます。

特徴は、ほとんどが正規のクラウド事業者のサーバーだという点です。攻撃者が自分の回線から来ることはまずありません。乗っ取られたサーバーや、使い捨てで借りたクラウドが踏み台になっています。「怪しい国からのアクセスを遮断する」といった対策があまり効かないのはこのためです。

なお中国の1件は公的機関名義の回線でした。当人が攻撃しているというより、その組織のサーバーが乗っ取られて加害側に回っていると見るのが自然です。守れていない機器は、いつのまにか他人を攻撃する道具になります。

4. Webサイト側も同時に叩かれている

SSHとは別に、Webサーバーにも探索が来ます。直近のアクセス記録から数えました。

探されていたのは、判で押したように同じファイルです。

全て 404（存在しない）を返しています。理由は簡単で、このサイトにはそれらが1つも無いからです。WordPress を使っていないので管理画面が存在せず、設定ファイルは公開ディレクトリの外に置いてあります。

5. AIのクローラーは攻撃ではない（が、数は多い）

ログを見ていると、攻撃とは別に大量の巡回プログラムが来ています。

これらは害はありません。むしろ AI に質問したとき自分の記事が答えに使われるための前提です。ただし1つだけ実害があります。

6. なぜ33万回叩かれて平気なのか

特別なことは何もしていません。効いているのは次の5つです。

1. SSHを公開鍵認証にしている
   パスワードを使わない方式です。攻撃側は当てるべきパスワードが存在しないため、33万回試しても原理的に通りません。
2. ファイアウォールで必要なポートだけ開けている
   開いているのは Web（80/443）と SSH（22）だけ。メール送信用のポートなどはサーバー内部からしか使えないようにしてあります。
3. WordPress などのCMSを使っていない
   静的なHTMLが中心です。攻撃の主力である「CMSの脆弱性狙い」は、狙う対象が存在しないので全て空振りになります。
4. データと設定を公開ディレクトリの外に置いている
   アクセス集計のデータや設定ファイルは Web から到達できない場所に置き、権限も限定しています。URLを直接叩かれても読めません。
5. 動かしている自作プログラムを最小限にしている
   サーバー上で動く自作のPHPはアクセスカウンターだけです。プログラムが少なければ、穴の空く場所も少なくなります。

7. 今回この調査で見つかった穴と、やったこと

「大丈夫だろう」と思って調べたのですが、実際には見落としが出ました。正直に書きます。

見つかった穴：設定ファイルの置き忘れ

サーバー移行作業をしたときの Webサーバー設定ファイルのコピーが、公開ディレクトリに残っていました。誰でもURLを叩けば読める状態です。中身にパスワードは含まれておらず、アクセス記録も外部からは0件でしたが、本来あってはならない状態です。即日削除しました。

やったこと：自動遮断（fail2ban）の導入

攻撃を止めることはできませんが、失敗を繰り返すIPアドレスを自動的に遮断する仕組みを入れました。一定回数ログインに失敗した相手は、しばらく接続そのものができなくなります。繰り返す相手ほど遮断期間が延びます。

侵入を防ぐ効果もありますが、実際に大きいのは ログが減ることです。1か月33万件の失敗記録に埋もれていると、本当に見るべき異常が見えません。

8. 制御機器をインターネットにつなぐ方へ

ここからが本題かもしれません。私の本業は照明・舞台の制御装置の設計です。近年は「遠隔で監視したい」「スマホから操作したい」という要望が確実に増えました。

そのとき必ずお伝えしていることがあります。

この記事の数字が示しているのは、「うちみたいな小さいところは狙われない」が完全に間違っているということです。攻撃は有名かどうかで来るのではなく、全アドレスを機械が順番に舐めた結果として来ます。1日数人しか来ないサイトに1日1万2千回です。

現実的な指針

• 制御用ネットワークは分離する — インターネットに出す必要があるのは監視用の情報だけで、制御そのものを出す必要はほとんどありません
• 遠隔操作が要るならVPNか踏み台経由にする — 制御機器を直接公開しない
• 初期ユーザー名・初期パスワードのまま外につながない — pi が1,600回狙われている現実があります
• 「使うかもしれない」機能を開けたままにしない — 使っていないポートと管理画面は閉じる
• 設置後に一度ログを見る — 何が来ているか見れば、対策の優先順位はすぐ決まります

設備の制御と、それをネットにつなぐことは別の技術です。両方をまたいで設計できる人は多くありません。この記事のような調査も含め、方式の選定からご相談いただけます。

まとめ

• 1日数人の個人サイトに、1か月33万回のログイン試行が来ている
• 攻撃元は864アドレス、ほとんどが乗っ取られた正規のクラウドサーバー
• Web側も6,085回の機密ファイル探索。全て空振り
• 侵入されていないのは高度な防御ではなく、鍵認証・不要なものを置かないという基本のため
• それでも設定ファイルの置き忘れという穴が見つかった。事故は自分の側から起きる
• 「小さいから狙われない」は成立しない。機械は全部を舐めている

技術者向けの詳細版（Qiita）

関連ページ

• 🔀 照明制御の方式変換・特殊制御 — DALI / DMX512 / Art-Net / 0-10V / 接点をつなぐ
• 🛠️ DMX512/Art-Net トラブルシューティングの心得 — ネットワーク型制御でつまずく場所
• ⚡ 電源系統設計と安全設計の心得 — 「事故は起きるもの」として設計する
• 📚 照明制御の規格をやさしく解説 — 位相制御 / 0-10V / DALI / DMX512 / Art-Net / PWM