「うちのような小さな会社は狙われない」は本当？｜小さな会社のホームページが狙われる理由と、まずやる7つ

「うちは小さい会社だから、狙われることはないだろう」

そう思っている方は多いと思います。

ところが実際には、小さな会社やお店のサイトほど、狙われやすい面があります。

怖がらせたいのではなく、理由が分かれば対策の優先順位も見えてくるので、順番にお話しします。

■攻撃そのものが増えている

総務省の情報通信白書でも、サイバー攻撃に関する通信が、年々大きく増えていることが示されています。

警察庁の発表でも、ランサムウェアの被害は、大企業より中小企業のほうが多くなっています。

■「うちには盗られるものがない」は思い込み

攻撃する側が欲しいのは、会社の秘密だけではありません。

乗っ取ったサイトは、次のようなことに使われます。

・偽の通販サイトや、だましのページを紛れ込ませる。

・見に来た人を、危ないサイトへ自動で移動させる。

・迷惑メールを送る拠点にする。

・ほかのサイトを攻撃するための足場にする。

サイトが「使える道具」であるかぎり、会社の大きさは関係ありません。

■小さな会社が狙われる2つの理由

1. 対策が手薄なことが多い。

作ったあとそのままになっているサイト、更新されていないWordPress、使い回しのパスワード。

攻撃の多くは、こうした弱いところを機械的に探して回るものなので、手薄なサイトから順に入り込まれます。

2. 取引先への足がかりにされる。

守りの固い大企業を直接狙う代わりに、取引のある小さな会社を入口にする手口もあります。

取引先を名乗るメールで、添付ファイルを開かせようとする手口もよく使われます。

自社が被害者であると同時に、取引先に迷惑をかける側になってしまうおそれがあります。

■対策をしないままだと

・サイトを止めている間、問い合わせや注文が入らない。

・取引先からの信用を失う。

・お客様の情報が漏れれば、謝罪や補償の対応が必要になる。

・原因の調査や復旧で、本業が止まる。

■まずやる7つの対策

1. パスワードを長く、使い回さない。

英数字と記号を混ぜて、10文字以上にするのがひとつの目安です。2段階認証が使えるなら、あわせて設定します。

2. 管理画面に入れる人を絞る。

辞めた人や、以前の制作会社のアカウントは残さないようにします。

3. WordPress本体、プラグイン、テーマを最新に保つ。

見つかった弱点の多くは、新しい版で直ります。

4. 使っていないプラグインやテーマは消す。

止めているだけでは、弱点が残ることがあります。

5. サーバーの防御機能（WAF）を有効にする。

多くのレンタルサーバーに付いていますが、使われていないこともあります。

6. サイト全体をSSL化する。

やり取りを暗号化し、のぞき見や書き換えを防ぎます。

7. バックアップを何世代か残す。

サーバーとは別の場所にも保管し、ときどき戻せるかを試しておくと、いざというときに慌てません。

1〜4は費用をかけずにできることがほとんどです。

1つだけでなく、いくつかを重ねることで守りが固くなります。

■もしものときに備えて決めておくこと

・おかしいと気づいたとき、社内で誰に知らせるか。

・サーバー会社や、サイトを見てもらっている人の連絡先。

・管理画面やサーバーに入るための情報の保管場所。

これを紙1枚にまとめておくだけでも、最初の動きが大きく変わります。

■よくあるご相談の例

「検索結果に、自社のサイトの名前で見覚えのないページが出てくる」というケースがよくあります。

この場合は、更新されていないプラグインなどから入り込まれ、ページを紛れ込まされていることが多いです。

「辞めた制作担当者のアカウントが、管理画面に残ったままだった」というケースもよくあります。

■自分で確かめるチェックリスト

・管理画面に入れる人の一覧に、辞めた人のアカウントがない。

・WordPress本体とプラグインに、更新のお知らせが残っていない。

・使っていないプラグインやテーマを消している。

・サーバーの防御機能が有効になっている。

・バックアップが、サーバーとは別の場所にもある。

■よくある質問

Q. 小さなサイトでも、本当に攻撃は来ますか？

A. 多くの攻撃は、相手を選ばずに機械的に行われています。サイトの大きさより、弱いところがあるかどうかで狙われます。

Q. セキュリティのプラグインを入れれば安心ですか？

A. 助けにはなりますが、それだけでは足りません。更新やパスワード、バックアップと組み合わせて考えましょう。

Q. 何から始めればいいですか？

A. まずは、パスワードの見直しと、管理画面に入れる人の整理です。どちらも費用をかけずに今日からできます。

Q. 被害に気づいたら、まず何をすればいいですか？

A. 管理画面のパスワードを変え、サーバー会社やサイトを見てもらっている人に知らせます。慌てて削除などをする前に、状況を記録しておくことも大切です。

■「何から手を付ければいいか分からない」方へ

ご自分でできる方は、上の7つから順に進めれば十分です。

自社のサイトがどのくらい守られているのか、ご自分で判断するのは難しいものです。

乗っ取り・改ざんの復旧を手がけてきた経験から、狙われやすいところを点検し、対策を行い、何をしたかをご報告するサービスをご用意しています。

WordPressの乗っ取りを防ぐ対策をします

https://coconala.com/services/4456347