【事例】更新していたWordPressがハッキング被害に！原因は放置していた古いWordPress？

こんにちは！WordPressの番人です^^

WordPressでホームページやブログを複数運営している方へ。

普段使っているWordPressは定期的に更新していても、昔作ったWordPressをレンタルサーバーに放置していませんか？

「メインサイトはこまめに更新しているけれど、昔作ったブログは何年も触っていない」

「テスト用にWordPressをインストールしたまま、すっかり忘れていた」

そんな方は、注意が必要です。

実は、定期的に更新しているWordPressでも、同じレンタルサーバー内に放置された古いWordPressがあると、そこからハッキング被害が広がる場合があります。

つまり、メインサイトだけを更新していても、必ずしも安心とは限らないのです。

以前、複数のWordPressをご自身で作成・運営していた個人起業家のお客様から、ハッキング被害についてご相談をいただきました。

このお客様は、事業のメインサイトを、ご自身でこまめに更新されていました。

それにもかかわらず、同じレンタルサーバー内のWordPressがすべて改ざんされてしまったのです。

今回は、その実際の事例をもとに、WordPressの番人で行った復旧対応と、複数のWordPressを運営する際に知っておきたいリスクや対策をご紹介します。

1. 定期更新していたメインサイトも、サーバー内の全サイトが改ざん被害に

以前、ご自身でWordPressサイトを作成・運営されている個人起業家のお客様から、ハッキング被害についてご相談をいただきました。

このお客様は、1つのレンタルサーバー契約内に、複数のWordPressサイトを設置していました。

事業のメインサイトは、ご自身でこまめにログインし、WordPress本体やプラグインを定期的に更新されていました。

ところが、あるとき、サーバー内のWordPressサイトがすべて改ざんされ、第三者による乗っ取りを示すようなメッセージや画像が表示される状態になってしまったのです。

定期的に更新していたメインサイトまで、ハッキング被害を受けてしまいました。

一方、同じレンタルサーバー内には、作りかけのまま長期間放置され、まったく更新されていない古いWordPressも残っていました。

そのため、放置されていた古いWordPressが攻撃の侵入口となり、同じサーバー内のほかのWordPressにも被害が広がった可能性が考えられました。

ただし、今回の被害について、具体的な侵入経路や悪用された脆弱性まで特定できたわけではありません。

ここで重要なのは、普段利用しているWordPressをきちんと更新していても、同じサーバー内に管理されていないWordPressが残っていれば、そこがセキュリティ上の弱点になる可能性があるということです。

2. なぜ別のWordPressからハッキング被害が広がるのか？

「別々のWordPressなのに、どうしてほかのサイトまで被害を受けるの？」

そう疑問に思う方もいるでしょう。

ここで知っておきたいのは、WordPressの管理画面への不正ログインと、サーバー内のファイルへの不正アクセスは別の問題だということです。

例えば、同じレンタルサーバー契約内に2つのWordPressがあるとします。

- Aサイト：WordPress本体やプラグインを定期的に更新している

- Bサイト：数年間更新せず、放置している

仮に攻撃者がBサイトの脆弱性を悪用し、サーバー内で不正なプログラムを実行できるようになったとします。

そのとき、サーバー内のアクセス権限やサイト間の分離が不十分だと、Aサイトのファイルまで書き換えられる場合があります。

つまり、AサイトのWordPress管理画面に不正ログインしなくても、Aサイトが改ざんされる可能性があるのです。

WordPress本体やテーマ、プラグインを定期的に更新することは、既知の脆弱性を悪用されるリスクを減らすための基本的なセキュリティ対策です。

しかし、メインサイトだけを更新していても、同じサーバー内に放置されたWordPressが残っていれば、そこが別の弱点になる可能性があります。

もちろん、同じレンタルサーバー契約内に複数のWordPressを設置しているからといって、必ず被害が広がるわけではありません。

実際のリスクは、サーバーの構成やファイルへのアクセス権限などによって異なります。

3. WordPressの番人では、サーバー内の全サイトを復旧・対策

今回のお客様からご相談をいただいたあと、WordPressの番人では、同じレンタルサーバー契約内に設置されていたすべてのWordPressサイトを対象に、復旧対応とセキュリティ対策を行いました。

なぜ、被害が発生したメインサイトだけでなく、ほかのサイトも対象にしたのでしょうか？

それは、1つのサイトだけを復旧しても、同じサーバー内の別のWordPressに不正なプログラムやセキュリティ上の問題が残っていれば、再び被害が発生するおそれがあるからです。

今回のようにサーバー内の複数サイトが改ざんされている場合は、特に注意が必要です。

そこで、サーバー内の各WordPressの状況を確認し、全サイトの復旧作業を実施するとともに、それぞれのWordPressについてセキュリティ対策を行いました。

その結果、改ざんされていたすべてのWordPressサイトを復旧し、サーバー内のWordPress全体にセキュリティ対策を施すことができました。

ハッキング被害への対応では、目に見える改ざんだけを修復するのではなく、同じサーバー内のほかのWordPressにも問題がないか確認することが重要です。

4. WordPressを自分で作れる人ほど、見落としやすいリスク

WordPressは、専門的なプログラミング知識がなくても、比較的簡単にホームページやブログを作れる便利なシステムです。

そのため、1つのレンタルサーバー契約内に複数のWordPressを設置している方もいるでしょう。

例えば、こんなケースです。

- 事業用ホームページとは別に、個人ブログも運営している

- 新しいサービスを試すために、テストサイトを作った

- 以前運営していたブログを、使わなくなってからも残している

- 複数の事業やサービスごとにWordPressを設置している

問題なのは、複数のWordPressを設置すること自体ではありません。

作ったときは管理していても、使わなくなったWordPressの更新やセキュリティ対策を忘れてしまうことです。

WordPress本体やテーマ、プラグインには、後からセキュリティ上の脆弱性が発見されることがあります。

現在は使っていないWordPressでも、インターネット上に公開されていれば、攻撃の対象になる可能性があります。

「もう使っていないから、放っておいても問題ない」

そう考えているWordPressこそ、一度確認してみてください。

WordPressを作成・運営することと、長期的に安全な状態で管理し続けることは、別の話です。

5. ハッキングされると、復旧にも時間と費用がかかる

WordPressがハッキングされた場合、被害はページの改ざんや表示不具合だけとは限りません。

不正なプログラムが設置されたり、サーバーが悪用されたりすることもあります。

さらに厄介なのは、被害を受けたサイトだけを修復しても、問題が解決するとは限らないことです。

例えば、放置された別のWordPressに侵入経路が残っていれば、メインサイトを修復しても再び被害を受ける可能性があります。

そのため、状況によっては同じサーバー契約内のほかのWordPressも調査し、不正なファイルの除去や脆弱性への対処を行う必要があります。

正常なバックアップが残っていなければ、復旧がさらに難しくなることもあります。

ハッキング被害が発生してから復旧するよりも、日頃からリスクを減らす対策を行っておくことが重要です。

6. 複数のWordPressを運営している人が確認したい5つの対策

今回のようなリスクを減らすために、次の5つを確認してみてください。

① サーバー内のWordPressをすべて把握する

まずは、契約しているレンタルサーバーに、いくつのWordPressが設置されているか確認しましょう。

メインサイトだけでなく、昔作ったブログやテストサイトも対象です。

② すべてのWordPressを適切に更新する

WordPress本体だけでなく、テーマやプラグインについても、定期的に更新することが大切です。

更新前にはバックアップを取り、更新後の動作確認も行いましょう。

③ 不要なWordPressは削除する

現在使っておらず、今後も利用する予定のないWordPressは、必要なデータを保管したうえで削除を検討しましょう。

使わないWordPressを残しておくことは、管理の手間だけでなく、セキュリティ上のリスクを増やす原因にもなります。

④ 重要なサイトは、サーバーやアカウントの分離も検討する

同じレンタルサーバー契約内に複数のWordPressを設置している場合、サーバーの設定によっては、サイト間でファイルへのアクセス権限が共有されていることがあります。

このような環境では、1つのサイトが攻撃を受けた際に、ほかのサイトにも被害が広がる可能性があります。

特に、事業の売上やお問い合わせに直結する重要なサイトについては、別のサーバー契約を利用したり、サイトごとにアクセス権限が適切に分離された環境で運用したりすることも有効です。

なお、単にWordPressを別のフォルダに設置するだけでは、十分な分離にならない場合があります。

⑤ サーバー外にもバックアップを保管する

万が一、サーバー全体に被害が及んだ場合、同じサーバー内に保存しているバックアップも利用できなくなる可能性があります。

そのため、バックアップはサーバー外の安全な場所にも保管し、必要なときに復元できるようにしておきましょう。

7. WordPressの保守管理は、サイト単位だけで考えない

今回の事例から学べる最も重要な教訓は、WordPressのセキュリティ対策は、メインサイトだけを管理していれば十分とは限らないということです。

特に、ご自身でWordPressを作成・運営している方ほど、サイトが増えるにつれて、すべてのサイトの管理に手が回らなくなることがあります。

また、保守管理を専門家に任せる場合でも、どのサイトまでが対象なのかを事前に確認しておくことが大切です。

同じサーバー内に保守対象外のWordPressが残っていれば、そこがセキュリティ上のリスクになる可能性があるためです。

複数のWordPressを運営している場合は、それぞれのサイトについて、誰がどこまで管理するのかを明確にしておきましょう。

特に、昔作ったWordPressを放置している方は、一度サーバー内の状況を確認してみてください。

WordPressの番人では、WordPressの保守管理やハッキングなどのトラブル対応を通じて、事業者の皆様のWebサイト運営をサポートしています。

「WordPressを複数運営しているけれど、管理が行き届いていない」

「古いWordPressを放置していて、セキュリティが心配」

「自社サイトの保守管理を専門家に任せたい」

そんな方は、お気軽にご相談ください。