被害の入口は、更新されていないプラグインと弱いパスワード
WordPressサイトが改ざんされる原因の大半は、更新されていないプラグインと推測しやすいログイン情報です。攻撃は狙い撃ちで行われるとは限らず、脆弱性のあるサイトを自動的に探す仕組みで無差別に試されます。企業規模の小ささは、狙われない理由にはなりません。
対策は難しい設定作業ではなく、決めた頻度で決めた項目を確認できるかどうかで決まります。ここでは最低限の対策項目、被害を受けた場合の対応手順、そして運用として続けるための考え方を整理します。
WordPressが狙われやすい理由
WordPressは世界で最も使われているCMSであるため、脆弱性が見つかったときの影響範囲が広く、攻撃対象になりやすい構造にあります。加えて次の3つの事情があります。
- プラグインの品質にばらつきがある：本体が安全でも、拡張機能に脆弱性があれば侵入経路になります
- ログイン画面の場所が共通している：管理画面のURLが標準構成のままだと、総当たり攻撃の対象になります
- 制作後に放置されやすい：公開時は最新でも、1年更新しなければ既知の脆弱性が残った状態になります
WordPressそのものが危険なのではなく、更新されない状態が危険という理解が正確です。導入の判断材料はWordPressでのホームページ制作で整理しています。
最低限やるべき7つの対策
専門知識がなくても実施でき、効果が大きい順に並べると次のとおりです。
- 本体・テーマ・プラグインを更新する：月1回は管理画面で更新の有無を確認します。自動更新を有効にする場合も、表示崩れがないか月1回は目視で確認してください
- 使っていないプラグイン・テーマを削除する：停止しているだけのプラグインも、ファイルが残っていれば攻撃対象になります
- 管理者IDを推測されにくいものにする：「admin」や会社名そのままのIDは避けます
- パスワードを12文字以上にする：他サービスと使い回さないことが前提です
- ログイン試行回数を制限する：セキュリティプラグインで、一定回数失敗したIPを遮断します
- 二要素認証を設定する：管理者アカウントだけでも設定しておくと侵入されにくくなります
- バックアップを自動取得する：日次または週次で、サーバーとは別の場所に保存します
この7項目のうち、7つ目のバックアップは被害を受けた後の復旧速度を決めます。他の対策をすべて実施していても侵入される可能性はゼロにならないため、戻せる状態を用意しておくことが実質的な保険になります。
あわせて確認したい4項目
次の4点は、制作会社やサーバー管理者に確認する内容です。
- PHPのバージョン：サポートが終了したバージョンは脆弱性が修正されません。レンタルサーバーの管理画面で確認できます
- 常時SSL化：全ページがhttpsで表示されるか。管理画面へのログイン情報を保護します
- ユーザー権限の整理：退職者や取引終了した業者のアカウントが残っていないか
- WAFの有効化：多くのレンタルサーバーに標準搭載されており、設定画面でオンにできます
ユーザー権限の整理は見落とされやすい項目です。制作会社を変更した際、旧担当者の管理者アカウントが残っているケースは実際にあります。
改ざんされたときの対応手順
被害に気づいた場合は、原因調査より先に被害の拡大を止めます。順序は次のとおりです。
- サイトを一時停止する：閲覧者にウイルスを配布する状態を止めます。メンテナンス表示に切り替えます
- すべてのパスワードを変更する：WordPress管理者、FTP、データベース、サーバー管理画面を含みます
- 被害範囲を確認する：改ざんの内容、個人情報を含むデータへのアクセス有無を調べます
- クリーンなバックアップから復元する：改ざん前の日付のものを使います。直前のバックアップには既に不正ファイルが含まれている場合があります
- 侵入経路を塞ぐ：原因となった脆弱性を特定し、更新または該当プラグインの削除を行います
- 必要な報告を行う：個人情報の漏えいが疑われる場合、個人情報保護委員会への報告と本人への通知が求められます。対応の要否は専門家に確認してください
復元だけ行って侵入経路を塞がないと、同じ経路で再び改ざんされます。手順5を省略しないことが重要です。
続けられる運用にする
セキュリティ対策が続かない原因は、確認する日が決まっていないことにあります。月次で15分の確認枠を設け、次の3点だけ見る運用でも、放置よりはるかに安全です。
- 更新可能な項目が残っていないか
- 管理者ユーザーに見覚えのないアカウントが増えていないか
- バックアップが正常に取得できているか
CatalyDesignでは自社サイトの運用でも、定型的な確認作業は手順を固定して回すようにしています。判断が必要な作業と、決められた項目を確認するだけの作業は分けて設計するほうが、担当者の負担が読めるためです。この考え方はAIに任せる業務の線引きでも整理しています。
自社で確認する体制が作れない場合は、保守契約に含める判断が現実的です。契約範囲の考え方はホームページの保守・運用とはにまとめています。
まとめ｜守るより、戻せる状態を作る
WordPressのセキュリティ対策で押さえておきたい点は次の5つです。
- 攻撃は自動化されており、企業規模に関係なく試される
- 最優先は更新と不要プラグインの削除。次にログイン周りの強化
- バックアップは別の場所に自動取得する。復旧速度を決める項目
- 改ざん時は停止・パスワード変更・復元・侵入経路の遮断の順で対応する
- 月1回15分の確認枠を決める。続かない対策は対策になっていない
保守や運用体制の設計から相談したい場合はサービス一覧をご確認ください。
