ホームページのセキュリティ対策、結局なにをすればいい？｜4つの入口と守り方の全体像

「ホームページのセキュリティ対策をしてください」と言われても、何をすればいいのか、ぴんとこない方が多いと思います。

専門用語も多く、どこまでやれば十分なのかも分かりにくいものです。

この記事では、ホームページが狙われる「入口」ごとに、守り方をまとめました。

全体像が分かると、自社に足りないところが見えてきます。

■小さな会社のサイトも狙われる理由

攻撃の多くは、人が1社ずつ選んでいるわけではありません。

古いソフトや弱いパスワードのサイトを、機械で広く探して入り込みます。

そのため、会社の大きさに関係なく、守りの弱いサイトから狙われます。

入り込まれたときに起きやすいのは、次のようなことです。

・見た目を書き換えられる、または知らないページを作られる。

・見た人を、偽のサイトへ移動させられる。

・迷惑メールの送り元に使われ、自社のメールが届きにくくなる。

・ほかのサイトを攻撃するための足場に使われる。

■ホームページが狙われる4つの入口

1. ログインの入口

管理画面のパスワードを当てられて、乗っ取られます。

簡単なパスワードや、使い回しのパスワードが狙われます。

2. ソフトの弱点

WordPress本体やプラグイン、テーマの古い版に残った弱点から入り込まれます。

いちばん多い入口です。

3. フォームなど、外から入力できる場所

お問い合わせフォームなどに、不正な命令を書き込まれることがあります。

4. サーバーそのもの

サーバーの設定が甘い、FTPのパスワードが簡単、といったところから入られます。

■見落としやすい入口

・試しに作ったサイト：別の場所にWordPressを入れたまま放っておくと、更新されずに弱点が残ります。

・公開の場所に置いたファイル：名簿の表やバックアップのファイルを置いたままにすると、外から開かれるおそれがあります。

・辞めた人のアカウント：使われていない管理者のアカウントは、気づかれないまま悪用されがちです。

■入口ごとの守り方

・ログインの入口

長く、使い回さないパスワードにする。2段階認証を設定する。管理者のアカウントを必要な人だけにする。管理画面を開ける場所を限る設定も、サーバーによっては使えます。

・ソフトの弱点

本体・プラグイン・テーマを最新に保つ。使っていないものは消す。出どころの分からないプラグインは入れない。

・入力できる場所

フォームのプラグインを最新にし、迷惑な送信を止める仕組みを入れる。

・サーバー

サーバーの防御機能（WAF）を有効にする。FTPのパスワードを変え、使わないときは閉じておく。

・やり取りの通り道

サイト全体を、暗号化した通信（SSL）で開けるようにします。ブラウザのアドレス欄に鍵のマークが出る状態です。フォームに入力された内容を、途中で盗み見られにくくなります。

■「守り」と同じくらい大切なこと

どれだけ守っても、狙われる可能性をゼロにはできません。

だからこそ、次の2つも合わせて用意しておきます。

・気づく仕組み：改ざんや停止に早く気づけるよう、見張っておく。

・戻せる仕組み：バックアップを何世代か、サーバーとは別の場所にも残しておく。

守る、気づく、戻す。

この3つがそろって、はじめて「対策している」と言える状態になります。

■今の状態を確かめる

WordPressの管理画面の「ツール」にある「サイトヘルス」を開くと、古いままのソフトや、使っていないテーマなどを知らせてくれます。

まずはここを見て、出ている項目から順に片づけていくのがおすすめです。

■おかしいと思ったら

見覚えのない画面が出る、管理画面に入れないといったときは、慌てて消したり触ったりしないことが大切です。

まず画面の写真を残し、契約しているサーバー会社に相談します。

そのうえで、管理画面とFTPのパスワードを変えます。

■よくあるご相談の例

「ずいぶん前に試しに作ったWordPressが、別の場所に残っていた」というケースがよくあります。

本番のサイトは更新していても、こちらが古いまま放っておかれていることが少なくありません。

使っていないものを消し、残すものは本番と同じように更新すると、入口を減らせることが多いです。

■自分で確かめるチェックリスト

・管理画面のパスワードは長く、ほかで使い回していない。

・2段階認証を設定している。

・管理者のアカウントは、今いる必要な人だけになっている。

・本体・プラグイン・テーマが最新になっている。

・使っていないプラグインやテーマ、試しに作ったサイトが残っていない。

・どのページを開いても、アドレス欄に鍵のマークが出る。

・バックアップが、サーバーとは別の場所にもある。

■よくある質問

Q. アクセスの少ない小さなサイトでも、対策は要りますか？

A. 要ります。攻撃の多くは機械で広く探すため、サイトの大きさは関係ありません。

Q. 対策にお金はかかりますか？

A. パスワードの見直しや更新、使わないものの削除は、お金をかけずにできます。サーバーに付いている防御機能も、追加の費用なしで使えることが多いです。

Q. セキュリティのプラグインを入れれば十分ですか？

A. 助けにはなりますが、それだけでは足りません。更新やパスワードの見直し、バックアップと組み合わせて考えましょう。

■まず今日できること

・管理画面のパスワードを、長いものに変える。

・管理者のアカウントを見直し、辞めた人のものを消す。

・使っていないプラグインを消す。

■対策をまとめて任せたい方へ

狙われやすい入口を点検し、ログインの守り、更新、防御機能の設定などの対策を行って、何をしたかをご報告します。

WordPressの乗っ取りを防ぐ対策をします

https://coconala.com/services/4456347

すでに改ざんや乗っ取りの被害にあっている場合は、こちらで復旧します。

乗っ取り・改ざんのWordPressを復旧します

https://coconala.com/services/4455914