多くのプロバイダーにとって、WHMCS は最も重要なものです。すべての顧客情報、支払いメカニズムとゲートウェイ、プロビジョニング リンク、管理キーなどがそこにあります。

WHMCSがハッキングされるのは最悪の悪夢です。侵入されると、攻撃者は

• 顧客リストを販売し、顧客リストにマーケティングを行い、評判を落とす
• WHMCS が管理リンクを持っていたすべてのシステム (つまり、ホストと VM) を変更または破壊する
• 会社の構造を学ぶ – 例えば管理者は誰か
• チケットの詳細を共有してあなたを困惑させる
• 顧客の個人情報すべてにアクセスすることで、顧客を危険にさらす可能性があります。例えば、一部のプロバイダーはサービス提供に写真付き身分証明書の提示を求めており、これは通常、WHMCS 添付ファイルとして提出されます。
• WHMCSへの侵入において直接的な対策を講じなくても、その情報は悪用される可能性があります。例えば、膨大な情報を持つ人物が侵入してくると、ソーシャルハッキングははるかに容易になります。

などなど、他にもたくさんあります。では、どうすれば自分を守れるのでしょうか？

WHMCSから離れて

なので、この問題は避けましょう。なぜなら、荒らしが必ずこの問題を持ち出すからです。

はい、WHMCS から移行すれば、WHMCS がハッキングされることはなくなります。

しかし、真剣に言うと…まず何かを実行する必要があり、その何かにも同じリスクがあります。

第二に、CRMの移行は簡単ではありません！お客様として、私は絶対にそのようなことは許しません。再登録を要求したり、ナレッジベースの記事を読んだりしないでください。お客様として、私は摩擦が好きではありません。お客様の仕事は、摩擦を軽減することです。

WHMCSを継続することになった場合、何をすべきでしょうか？まずは基本から

パッチ/アップグレード：インストールを常に最新の状態に保ってください。メンテナンス費用を支払っているのですから、必ず活用しましょう！WHMCSが2バージョン前に修正したバグのせいで、ハッキングされるようなことは避けましょう。WHMCSは常にバグを修正していることを覚えておいてください。最新のパッチにセキュリティに関する記述がないからといって、WHMCSが発見した問題や、まだ誰も発見していない問題が修正されていないわけではありません。

バックアップ：バックアップはハッキングされた場合にデータの流出を完全に防ぐことはできませんが、少なくともコピーが残っていることを確認できます。また、サーバー障害、管理ミス、バグなど、ハッキング以外の問題が発生した場合にも役立ちます。プロのヒント：必要になる前に、今すぐ復元を試してみてください。

安全なパスワードを選び、変更する：最初のポイントは当然のことですが、2つ目のポイントは、チームの管理者が退職した場合はパスワードを変更してください。

ここまでで、さらに高度なヒントをいくつか紹介します

管理サーバの所在地を変更しましょう。管理サーバをwww.example.com/whcms/adminに設定しないでください。別の場所、理想的にはランダムな文字列かUUIDを設定してください。「staffonly」でも構いません。WHMCSの新たなゼロデイバグが出現し、WHMCS管理サーバが自動的にスキャンされ攻撃されるのは避けたいものです。確かに、これはある程度、隠蔽によるセキュリティ対策と言えるでしょう。しかし、攻撃を受ける回数を減らすことができるので、良いことです。

多要素認証（MFA/2FA）を使用する：確かに「ZRneENePy8@qx4L*xLab8x!M8bB2J*K4」は強力なパスワードですが、キーボードスニファーで入力内容をすべて読み取ってしまうと、もはや強力なパスワードとは言えません。2024年には2要素認証は必須です。

サードパーティのテンプレートとモジュールは避けましょう。WHMCSの見た目を美しく仕上げてくれる優れたテンプレート作成者がいます。また、WHMCS でほぼあらゆる機能を実現できるモジュールも追加できます。ただし、サードパーティのコードをインストールするということは、その発行者に企業を託すことになるということを忘れないでください。信じられない場合は、 こちらの記事をご覧ください。

WAFについて考えてみましょう。Webアプリケーションファイアウォール（WAF）はWHMCSとWebブラウザの間に位置し、送受信されるものをフィルタリングします。WAFはHTTPリクエストの種類とリクエストボディをフィルタリングできます。特定のURLにPOSTしたり、特定のデータを別のURLに送信したり、パスに制御文字が多数含まれるURLをリクエストしたりする理由がない場合もあります。25230のレジェンドである@FatGrizzlyの言葉を引用します。

Cloudflare Pro が役立ちます (無料版でも問題ありませんが、Advin はテストで数か月前に発生した Lagom 攻撃を無料版ではブロックできないことを発見しました)。

また、modsecurity を使用することもできます (owasp は whmcs には厳しすぎる可能性があります。comodo を試してください)。「< 疑問符 ph p」を使用して着信 post リクエストをブロックし、スペースを無視して単語を置き換えます。cf によってトリガーされるのも役立つ可能性があります。

WHMCSは非常に深刻なので、セキュリティ対策を徹底する必要があります。他に何かお勧めはありますか？