あなたのサイトがハッカーの踏み台にされるリスク｜WordPressは大丈夫？

「うちは小さな会社のサイトだから、攻撃されることなんてない」

そう考えているなら、少し注意が必要です。

WordPressサイトが不正アクセスを受けると、単にサイトの表示を書き換えられるだけではありません。

侵入されたサイトが、別の攻撃を行うための「踏み台」として悪用される可能性があります。

WordPress公式のハッキング被害例にも、「サイトが他のサイトを攻撃するために使われていると連絡を受けた」というケースが挙げられています。WordPress.org

「踏み台」にされるとは？

簡単にいうと、攻撃者があなたのサイトを不正に利用して、別の場所に攻撃を仕掛けることです。

例えば、

- 不正なプログラムを設置する

- スパムメールを大量に送信する

- マルウェアを配布する

- 他のサイトへの攻撃に利用する

- フィッシングサイトを設置する

といった悪用が考えられます。

つまり、あなた自身が攻撃者でなくても、侵入されたサイトが攻撃のための道具として利用されることがあります。

なぜWordPressが狙われるのか

WordPressそのものだけが問題というわけではありません。

WordPressでは、本体に加えてテーマやプラグインなど複数のソフトウェアを組み合わせてサイトを構築します。

そのため、古いバージョンや脆弱性のあるプラグインなどが侵入口になる可能性があります。

WordPress公式も、WordPress本体だけでなく、インストールしているプラグインやテーマを最新の状態に保つことを重要なセキュリティ対策として挙げています。WordPress Developer Resources

侵入されると何が起こる？

怖いのは、サイトを改ざんされるだけではありません。

WordPress公式が挙げるハッキングの兆候には、

- 見覚えのないユーザーが作成されている

- ファイルが変更されている

- 不正なファイルが追加されている

- マルウェアを配布していると警告される

- Googleなどでサイトがブラックリスト登録される

- 他のサイトを攻撃するために利用されていると連絡が来る

などがあります。WordPress.org

一度侵入を許すと、単純に「WordPressを最新版に更新すれば終わり」とはいかない場合もあります。

不正なファイルやバックドアなどが残されていれば、再び侵入される可能性があるためです。

「自分のサイトは狙われない」は危険

ここで重要なのは、有名企業の大規模サイトだけが狙われるわけではないということです。

攻撃には自動化されたボットが使われることもあります。

WordPress公式のセキュリティガイドでも、古いプラグインやソフトウェアの脆弱性を狙った攻撃や、管理画面への総当たり攻撃などが一般的な攻撃として説明されています。WordPress Developer Resources

そのため、

「アクセス数が少ないから大丈夫」

「個人事業のサイトだから大丈夫」

とは限りません。

まず確認したい5つのポイント

WordPressサイトを運営しているなら、最低限ここを確認しておきたいところです。

1．WordPress本体が最新か

2．プラグインが最新か

3．使用していないプラグイン・テーマを放置していないか

4．管理者アカウントやパスワードを適切に管理しているか

5．万一の侵入に備えてバックアップを取っているか

WordPress公式も、更新、強力なパスワード、バックアップ、アクセス制限などをセキュリティ対策として案内しています。WordPress Developer Resources

そもそもWordPressを使わないという選択肢もある

ここまで読んで、

「WordPressって、結構管理が必要なんだな」

と感じた方もいるかもしれません。

もちろん、WordPressは非常に便利なCMSです。

ブログやニュースサイトなど、管理画面から頻繁にコンテンツを更新するサイトには適しています。

一方で、

商品・サービスを紹介するだけのLP

会社や店舗の案内ページ

キャンペーンページ

などであれば、必ずしもWordPressが必要とは限りません。

HTML・CSSを中心とした静的サイトにすることで、WordPress本体やプラグインを使用しないシンプルな構成にできます。

結果として、WordPress固有の更新管理や、その関連する脆弱性への対応が必要となる範囲を減らせます。

もちろん、静的サイトだから絶対に安全ということではありません。セキュリティは「リスクをゼロにする」のではなく、適切な対策によってリスクを減らしていくものです。WordPress Developer Resources

まとめ

WordPressサイトがハッキングされると、サイトを改ざんされるだけでなく、別の攻撃やマルウェア配布などに利用される可能性があります。

だからこそ、

「うちは小さいサイトだから大丈夫」

ではなく、

- WordPress本体

- プラグイン

- テーマ

- 管理者アカウント

- バックアップ

を定期的に確認することが重要です。

そして、そもそもWordPressを使う必要がないサイトなら、静的LP・静的サイトという選択肢を検討するのも一つの方法です。