米司法省とEuropol、9か国の捜査当局が、マルウェア「Gootloader」「CastleRAT」「StealC」の運用基盤を解体したと報じられています。摘発は国際捜査「Operation Endgame」の一環で、記事によると、狙われた対象には「おとり」として使われた乗っ取り済みのWordPressサイトも含まれます。
何が起きたのか
- ブルガリア、カナダ、デンマーク、ドイツ、モルドバ、オランダ、ポーランド、英国、米国の当局が参加し、EuropolとEurojustが調整したとされています。逮捕者はまだ発表されていません。
- 押収の規模は、Europolの発表として伝えられた数字で、サーバー235台とドメイン257件です(報道によりサーバー数は236台とも)。
- Gootloaderは、偽の法律文書を装って乗っ取られたサイト(多くはWordPress)に置かれ、SEOポイズニング(検索結果の細工)で上位に表示させる手口で広がったと説明されています。
- Gootloaderについては、少なくとも2万5,000台の感染(米司法省)、米国の被害者44者以上・損失約2,880万ドルと伝えられています。サーバー14台とドメイン218件が押収され、681のサイトが「クリーンアップ」されたとのことです(これがすべてWordPressサイトかどうかは、記事では明記されていません)。
- デンマーク警察は、攻撃者が盗んだパスワードでサイトに侵入し、バックドアを設置したとみているそうです。
WordPress運営者が確認したいこと
基盤が摘発されても、攻撃者が盗んだ認証情報をまだ持っている可能性があると当局は警告しています。自分のサイトが踏み台にされていないか、この機会に見直しましょう。
- 管理者パスワードを、他で使っていない12文字以上のものに変更する
- 二要素認証を有効にする
- 見覚えのないユーザーアカウントを削除する
- WordPress本体・テーマ・プラグインを最新にする
- 可能なら、/wp-adminへのアクセスを自分のIPアドレスだけに制限する
- 見覚えのない投稿・ページ(特に法律文書や契約書をうたうもの)や、検索結果に出てくる身に覚えのないURLがないか確認する
日本のサイトでも、パスワードの使い回しや更新の遅れがあれば同じ手口の対象になり得ます。攻撃の点検ポイントは、WordPress本体のアップグレード時RCE「CVE-2026-119977」、攻撃試行が24万件超にの記事も参考になります。
※数字は報道ごとに食い違いがあり(Gootloaderの活動開始年や感染台数など)、元記事自身も注記しています。
出典: Meteora Web「Gootloader, CastleRAT and StealC taken down by Europol」
