ホームページの「控えのファイル」、サーバーの公開場所に置いたままになっていませんか｜JPCERT/CCの注意喚起と、確かめ方・片づけ方

ホームページを引っ越したときや、作り直したときに取った控え（バックアップ）のファイル。

その控えが、だれでも見られる場所に置いたままになっていることがあります。

2026年10月、JPCERT/CC（日本で不正アクセスの相談を受けている団体）は、国内の組織で不正アクセスが続いているとして注意を呼びかけました。

その中で、弱点を探す攻撃のほかに、設定のファイルや控えのファイルを盗み出そうとする動きがあると書かれています。

確かめることの1つとして、「控えのファイルが公開の場所に置かれていないか」が挙げられています。

この記事では、小さな会社のホームページで起きやすい置き忘れと、確かめ方をまとめました。

■なぜ、控えのファイルが狙われるのか

ホームページのサーバーには、だれでも見られる「公開の場所」と、外からは見えない場所があります。

控えのファイルを公開の場所に置くと、ファイルの名前さえ分かれば、だれでも持ち出せてしまいます。

WordPressの場合、控えの中には次のようなものが入っていることがあります。

・データベースにつなぐための名前とパスワード（wp-config.php）

・お問い合わせの記録や、会員の情報

・管理画面のアカウントの情報

WordPressの公式の説明でも、wp-config.phpは接続の情報を含むため、控えを取るときに特に注意するよう書かれています。

■置き忘れが起きやすい場面

・サーバーを引っ越すときに、まとめて圧縮したファイルを作った

・作り直しの前に、古いサイトをまるごと別のフォルダに写した

・設定を書きかえる前に、「wp-config.php.bak」のような写しを作った

・控えを取るプラグインが、公開の場所に控えを保存する設定になっている

・制作会社が作業用に置いたファイルが、そのまま残っている

どれも、作業そのものは正しいのですが、終わったあとの片づけが抜けやすいところです。

■自分で確かめられること

1. サーバー会社の管理画面にある「ファイルマネージャー」を開きます

2. ホームページのフォルダ（public_html などの名前が多いです）を開きます

3. 次のようなファイルやフォルダがないかを見ます

・名前の最後が .zip、.tar.gz、.sql、.bak、.old のファイル

・「backup」「old」「旧」「test」などの名前のフォルダ

・日付が入った名前のフォルダ（例：site_20240401）

ファイルを開いたり消したりする前に、まず一覧を写真に撮っておきましょう。

■控えを取るプラグインの設定も見る

控えを取るプラグインを使っている場合は、保存先がどこになっているかを確かめます。

・サーバーの中に保存している場合、外から見えない場所か

・クラウドの保存先に送っている場合、古い控えが自動で消える設定か

設定の画面の見方が分からない場合は、無理に変えず、管理している人に確かめてもらいましょう。

■見つけたときの片づけ方

・まず、そのファイルが何のための控えか、だれが置いたかを確かめる

・必要な控えなら、自分のパソコンなど公開の場所の外へ移してから、サーバーからは消す

・いらない控えなら、消す

・古いサイトの写しは、フォルダごと片づける

公開の場所に長く置いていた場合は、すでに持ち出されている心配もあります。

データベースのパスワードと、WordPressの管理者のパスワードを変えておくと安心です。

■パスワードを変えるときの注意

データベースのパスワードは、サーバーの管理画面と、wp-config.phpの両方を合わせて変える必要があります。

片方だけ変えると、ホームページが表示されなくなります。

慣れていない場合は、管理している人に頼みましょう。

■やってはいけないこと

・「名前を知らなければ見つからない」と思って放っておく

・何のファイルか分からないまま、まとめて消す

・控えを、公開の場所の別のフォルダに移しただけで済ませる

攻撃は、よくあるファイルの名前を機械で順に試して行われます。

名前を工夫しても、公開の場所にある限り安心はできません。

■ふだんからできること

・引っ越しや作り直しが終わったら、作業用のファイルを片づける日を決めておく

・制作会社に作業を頼んだら、作業用のファイルが残っていないかを確認してもらう

・控えは、何世代分を、どこに残すかを決めておく

JPCERT/CCの注意喚起でも、使い道が終わったデータを残さないことが勧められています。

■管理している人に頼むときに伝えること

・ホームページのアドレス

・使っているサーバー会社の名前

・最近、引っ越しや作り直しをしたか（した場合はその時期）

・控えを取るプラグインの名前（分かれば）

これが分かれば、どこに控えが残りやすいかの見当を付けて確かめられます。

■確かめるためのチェックリスト

・公開の場所に、.zip や .sql などの控えのファイルがない

・「backup」「old」などの古いフォルダがない

・控えを取るプラグインの保存先が、外から見えない場所になっている

・作業用のファイルを置いた人と、片づけた日が分かる

■よくある質問

Q. レンタルサーバーの自動の控えも、危ないのですか？

A. サーバー会社が取っている自動の控えは、ふつうは公開の場所の外に保存されています。心配なのは、自分や制作会社が作って置いたファイルです。

Q. 消したら、ホームページが壊れませんか？

A. 控えのファイルは、ホームページの表示には使われていないことがほとんどです。ただ、何のファイルか分からないものは、消す前に確かめましょう。

Q. 持ち出されたかどうかは分かりますか？

A. サーバーのアクセスの記録が残っていれば、調べられることがあります。記録が残る期間はサーバー会社ごとに違います。

■毎月の確認を任せたい方へ

ご自分でサーバーの中を見て片づけられる方は、この手順で十分です。

「サーバーの中をどう見ればよいか分からない」「毎月の確認の中で見ておいてほしい」という方には、WordPressサイトの保守をお受けしています。

毎月サイトの状態を確かめ、気づいたことをご報告します。

WordPress保守を月額で代行し毎月報告します

https://coconala.com/services/4456029