WordPressはプラグインを入れたら安心？見直したい3つの点検ポイント

私もタイムズカーの情報漏えいで、運転免許証の情報が流出した一人です。

ニュースで見るのと、自分のことになるのとではやっぱり違いますね。

バーガーキングからも情報漏えいのお知らせが届きました。

さらにWebサイト制作サービスのStudioでも、不正アクセスによる情報流出に関する公表がありました。

普段使っているサービスの名前が続くと、もう遠くの話には思えません。

■ 昔はサーバーの攻撃ログを眺めていました

私は以前、Linuxサーバーをゼロから構築し、OSの中核部分であるカーネルを自分で作り直すようなこともやっていました。

サーバーに届くアクセスや攻撃の記録を眺めて過ごしていた時期もあります。

世界中のIPアドレスから、こちらの都合とは関係なくアクセスが来る。

公開したサーバーは、開店時間のない店のようなものなんですよね。

こちらが寝ている間も誰かが入口を探しています。

LinuxにはKali Linuxのように、侵入テストやセキュリティ検査の道具をまとめたものもあります。

私はそれを使ってはいませんが、そうした道具の存在も以前から知っていました。

だから生成AIが出てきたとき、攻撃の方法を調べたりプログラムを書いたりする手間まで小さくなるのでは、と危機感を持っていました。

最近の漏えいの知らせが続く中で「いよいよ身近な問題になってきたな」と感じています。

ここで挙げた事件の原因をAIだと言っているわけではありません。

私が気にしているのは、攻撃する側の道具も変わっていく中で守る側の確認を止められないということです。

■ レンタルサーバーに任せているから安心、とは言い切れない

私自身もWordPressでECサイトを運営しています。

自分のお店ですからセキュリティ対策を重ね、日頃から状況を確認しています。

レンタルサーバー会社もサーバー側の防御や監視に取り組んでいます。

ただ、その上で動くWordPressの更新やプラグイン、管理者アカウントまで、すべてお任せというわけにはいきません。

建物全体の警備があっても、自分の店の鍵は自分でも確認する必要がある。

それにサイトを乗っ取られると、被害が自分のところだけで終わらないことがあります。

迷惑メールの送信や偽サイトの設置など、ほかの人をだますための踏み台にされてしまう。

サイトがいつもどおり表示されていても、裏側で何も起きていないとは限らないんです。

大手サービスでも漏えいが続く中で、自分のサイトについて今できる確認を後回しにしない方がいい。

そう感じたことが、今回WordPressのセキュリティ点検サービスを出品したきっかけです。

まずは更新、防御、バックアップの状態を確認し、対策の優先順位を整理する。

その最初の点検をお手伝いしたいと思っています。

■ セキュリティプラグインを入れた、その後は？

セキュリティプラグインは入れている。

サイトも普通に表示されている。

でも最後に更新やバックアップを確認したのはいつだったか、すぐには思い出せない。

そんなときは次の三つから見直してみてください。

■ 更新が止まっているところはないか

WordPressは本体とテーマ、プラグインを組み合わせて動いています。

セキュリティプラグインだけを更新していても、ほかの部分が長く放置されていれば見直す余地が残ります。

確認するのはそれぞれのバージョンと更新状況、それから利用中の製品に既知の脆弱性がないかです。

脆弱性は不正な操作などに悪用される可能性があるソフトウェアの弱点です。

「使っていないけれど入れたまま」のプラグインやテーマも確認します。

ただ名前を見て不要そうだと思っても、その場ですぐ削除はしません。

実はサイトの機能に使われている場合もあるので、関係を確認してから整理します。

更新するときも先にバックアップと確認手順を用意しておきたいところです。

とくにECサイトは見た目が戻れば終わりとはいきません。

購入できるか、通知は届くかまで影響を考えて進めます。

■ 入れた機能はちゃんと働いている？

プラグインを有効にした後は設定も見てみてください。

ログインを守る設定はどうなっているか。

スキャンは実行されているか。

警告の通知先は今も確認しているメールアドレスか。

防犯ベルをつけても、鳴ったときに誰も気づかなければ対応が遅れてしまいます。

そうなんですよね。機能があるだけでなく、誰が受け取ってどう動くかまで必要なんです。

管理者アカウントも確認します。

以前の担当者のものが残っていないか、記事を書く人にサイト全体を変更できる権限まで渡していないか。

担当する仕事に必要な範囲に権限を絞ることも対策になります。

退職者のアカウントなら現在の管理体制を確認してから整理する。

知らないアカウントがあれば、消して終わりにせず作られた経緯も調べる。

同じ「不要そうなアカウント」でも見るべきことは違います。

■ バックアップは戻し方まで分かっているか

「サーバー会社が取ってくれているはず」

ここで止まっていたら、一度中身を確認しておくといいと思います。

WordPressの復旧には画像やプログラムなどのファイルと、投稿や設定を保存するデータベースの両方が関わります。

バックアップにどこまで含まれているかを見ておきます。

最後に正常に保存できたのはいつか。

何をどこに保存していて、何世代前まで残っているか。

復元するときは誰がどの操作をするのか。

防災用品を用意していても、置き場所や使い方が分からなければ慌てますよね。

バックアップも「ある」と「使って戻せる」の間に、確認しておきたいことがあります。

ECサイトなら保存後に入った注文をどう扱うかも考える必要があります。

更新の少ない案内サイトと毎日注文が入るショップでは、必要な保存頻度も変わります。

なお設定を確認する作業と、実際に復元して動作を確かめる作業は別です。

復元テストは本番サイトに影響しない環境と手順を用意して行います。

■ 気になるところを並べるだけでは動けない

点検で10個の項目が見つかっても、一覧を渡されただけでは何から手をつけるか迷います。

たとえば利用中のプラグインに悪用が報告されている脆弱性がある場合と、古い担当者向けの通知先を整理する場合では急ぎ方が違います。

サイトの状態と影響範囲を見て対応する順番を決めます。

私が報告で分けておきたいのは「確認した範囲では問題を検出しなかった」と「権限が足りず確認できなかった」です。

どちらも何も見つかっていないように見えますが、意味は違う。

未確認の場所が分かれば、サーバー会社への確認など次の作業を決められます。

【参照した資料】

パーク24「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）」

バーガーキング「不正アクセスによる公式アプリ会員情報漏えいに関するお詫びとお知らせ」（2026年10月15日）

Studio「不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日）

Kali Linux公式FAQ

WordPress公式「Hardening WordPress」「Backups」「FAQ My site was hacked」

公表資料は2026年10月17日確認。

点検は確認時点の範囲を整理するもので、侵入テストや独自コードの精密診断とは異なります。

■ 今の状態を知るための点検です

私はECを21年間運営し、WordPressのログイン不能や更新エラー、表示崩れなどのトラブル対応にも取り組んできました。

その運用経験をもとに現状と見直す順番を整理するのが「WordPressのセキュリティを点検します」です。

一般的な企業・店舗・個人サイトを対象に、更新や防御、バックアップなどを確認してPDF報告書にまとめます。

基本料金は1サイト10,000円です。

点検・報告と改善作業は分けているので、更新や設定変更、復元テスト、感染復旧などは基本料金に含みません。

WooCommerceや会員サイトなどは構成を確認して対応範囲をご相談します。

「しばらく管理画面を見ていない」「今の設定で何が足りないか知りたい」という方は、サービスページの見積り相談からサイトURLと気になる点をお知らせください。

最初の相談でパスワードを送る必要はありません。