ファイルアップロードの脆弱性とは？写真・書類を受け取るサイトを診断する理由

採用フォームで履歴書を受け取ったり、問い合わせフォームで資料を添付してもらったりするWebサイトでは、ファイルアップロード機能が使われています。

「画像やPDFを受け取るだけなら、そこまで心配しなくても大丈夫だろう」と思うかもしれません。

でも、実際にはファイルの受け取り方だけでなく、保存方法や誰が閲覧できるのかまで確認することが大切です。

制作会社に構築を任せていても、公開中のサイトで対策がきちんと働いているかを自社だけで判断するのは難しいですよね。

この記事では、ファイルを受け取るサイトで起こり得る問題や制作会社への確認事項、実際のサイトを診断する理由をご紹介します。

セキュリティー診断さん

うちのサイトにも写真投稿機能があるけど…それって危ないのかな？ ただ画像をアップするだけだと思ってたよ…

ファイルアップロードが危険な理由と起こりうる被害

ファイルを受け取る機能に問題があると、サイトの改ざんや停止、情報漏洩につながるおそれがあります。

怖いのは、サイトそのものへの被害だけではありません。

応募者の履歴書や顧客から預かった資料を、権限のない第三者に見られてしまう可能性もあります。

こうした問題が起きると、サイトを復旧すれば終わりというわけにはいきません。

影響を受けた人への説明や問い合わせ対応、制作会社との原因確認なども必要になり、普段の業務にも大きな負担がかかります。

そのため、「画像やPDFを受け取れているから大丈夫」と考えるのではなく、受け取るとき、保存するとき、利用者に見せるときまで確認することが大切です。

ファイルアップロードを守る3段階の基本対策

ファイルアップロード機能は、「受け取る前」「保存するとき」「公開・利用するとき」の3段階で対策することが大切です。

細かな設定方法まで自社で無理に把握しようとするより、まずは次の3点がきちんと対策されているか、制作会社に確認してみましょう。

受け入れる前：種類と中身を確認する

採用フォームなら履歴書、問い合わせフォームなら画像やPDFなど、業務で必要なファイルの種類と大きさをあらかじめ決めておきます。

ファイル名の末尾にある拡張子や、送信時に示されるMIMEタイプは、ファイルの種類を見分ける手掛かりになります。

ただ、こうした表示だけを信用するのではなく、実際のファイルの中身まで確認する対策も必要です。

想定していない種類のファイルや、極端に大きなファイルを受け付けない仕組みになっているか、制作会社に確認してみましょう。

保存するとき：名前を変えて実行できない場所へ置く

受け取ったファイルは、利用者が付けた名前のまま扱わず、Webサイト上で危険な動作をしない安全な場所に保存します。

これは、同じ名前のファイルによる上書きや、保存したファイルを悪用した操作を防ぐためです。

制作会社には、受け取ったファイルがそのままプログラムとして実行されない仕組みになっているか確認してみましょう。

公開・利用するとき：ログイン状態と権限を確認する

履歴書や顧客資料は、URLを知っているだけで誰でも見られる状態では困ります。

表示やダウンロードのたびに、ログインしているか、その人に閲覧する権限があるかを確認する仕組みが必要です。

別の利用者やログアウトした状態でURLを開いても、他人のファイルを閲覧できないようになっているか、制作会社に確認してもらいましょう。

対策済みでも実際のサイトで確認したい理由

制作会社から「必要な対策を実装しています」と説明を受けられれば、ひとまず安心ですよね。

ですが、設計どおりに作られていることと、公開中のサイトで対策がきちんと働いていることは、少し話が違います。

実際のサイトでは、複数の設定が組み合わさったことで、開発時には気づかなかった問題が見つかる場合があります。

そのため、制作会社に対策内容を確認するだけでなく、外部からアクセスできる実際のサイトで、ファイルの受け取り方や閲覧制限に問題がないか確かめることも大切です。

ファイルアップロードだけでなく、Webアプリ全体の弱点も確認したい場合は、OWASP Top 10に沿ったWebの主要脆弱性チェックも参考にしてみてください。

セキュリティー診断さん

よーし、対策はバッチリ！ …って思ったけど、これだけで本当に大丈夫なのかな？ 見落としがありそうで不安になってきた…

診断結果を制作会社への修正依頼に使う

公開中のサイトを診断すると、自社では気づきにくい問題も見つけやすくなり、制作会社へ修正を依頼するときの具体的な材料になります。

『セキュリティー診断さん』は、外部からアクセスできるWebサイトやWebアプリの弱点をAIで調べ、結果をわかりやすいレポートで確認できるサービスです。

たとえば、想定していないファイルを受け付けていたり、権限のない人がファイルを閲覧できたりするような問題が見つかった場合は、その結果を制作会社にそのまま共有できます。

レポートには問題が見つかった場所や危険度も示されるため、「どこに問題があるのか」「どれから対応するのか」といった話も進めやすいです。

専門用語を使って一から状況を説明しなくても、診断結果を見ながら制作会社と確認できるので、修正してほしい内容も伝えやすくなります。

修正が終わったら、どこを直したのか制作会社から説明を受け、診断結果と一緒に残しておくと、今後サイトを変更するときの確認にも役立つでしょう。

写真や書類を受け取る機能は公開環境で確認しよう

採用や問い合わせ、会員向けの機能で受け取るファイルには、履歴書や顧客資料など、外部に漏らしたくない大切な情報が含まれることがあります。

だからこそ、ファイルを問題なくアップロードできるかだけではなく、受け取った後も安全に扱われているか確認しておくことが大切です。

制作会社に対策内容を確認したら、それが実際の公開サイトでもきちんと働いているかまで確かめておきましょう。

自社だけで判断するのが難しい場合は、AIでWebサイトの弱点を診断できる『セキュリティー診断さん』を、公開中のサイトを確認する方法の一つとして活用してみてください。

お客様や応募者から安心して情報を預けてもらえるよう、ファイルを受け取る機能の安全性をこの機会に見直しておきましょう。

セキュリティー診断さん

ヨシ！ 診断結果を制作会社に渡せば、どこから直すか相談しやすいんだな！ これなら僕だけで難しい判断を抱え込まずに進められそう！ (๑•̀ㅂ•́)و✧