「うちは大丈夫」は危険！あなたのWordPressサイトもハッカーに狙われている

WordPressサイトもハッカーに狙われている

「自分は大丈夫」「うちの会社は小さいから狙われない」

そう思っていませんか？

実は、サイバー攻撃は決して遠い世界の話ではありません。

最近、私の身近でも不正ログインによる被害がありました。知人がPayPay経由で利用していたAmazonアカウントに不正ログインされ、約8万円の時計を勝手に注文されたのです。

幸い、注文はキャンセルできました。しかし、身近な人にこうした被害が起きると、セキュリティ対策を他人事として考えてはいけないと感じます。

これはネットショッピングだけの問題ではありません。

会社や個人が運営するホームページも、攻撃者に悪用される可能性があります。

あなたのホームページが犯罪に利用される？

Webサイトへの不正アクセスで怖いのは、サイトの表示を書き換えられることだけではありません。

侵入されたサイトが、攻撃者の活動を助けるために利用されるケースもあります。

例えば、次のような被害です。

- 不正なプログラムを設置される

- スパムメールの送信元として悪用される

- 偽のログイン画面などを設置される

- マルウェアの配布に利用される

- 別のWebサイトへの攻撃に利用される

WordPress公式のハッキング被害に関する案内でも、サイトがマルウェアを配布していると警告されたり、他のサイトへの攻撃に使われていると連絡を受けたりすることが、侵害の兆候として紹介されています。

つまり、自分が被害者であるにもかかわらず、自分のサイトが第三者への攻撃に使われてしまう可能性があるのです。

なぜWordPressサイトが狙われるのか？

WordPressは世界中で利用されている便利な仕組みです。

一方で、WordPress本体だけでなく、テーマやプラグインなど複数のソフトウェアを組み合わせて運用します。

そのため、更新が止まったソフトウェアや脆弱性が修正されていないプラグインなどが、侵入経路になる可能性があります。

WordPress公式も、セキュリティ対策として、本体・プラグイン・テーマを最新の状態に保つことを重要事項として挙げています。

WordPress Developer Resources+1

また、WordPressが動作するサーバー環境で使われるPHPにも、サポート期限があります。

サポートが終了したPHPのバージョンは、原則として新たなセキュリティ修正を受けられません。古いバージョンを使い続けることにはリスクがあります。

PHP+1

「今まで問題がなかったから」という理由で更新を先送りしているなら、一度確認する必要があります。

「うちは小さいサイトだから狙われない」は本当？

ここも誤解されやすいポイントです。

攻撃者が必ずしも、特定の会社や有名企業を狙っているとは限りません。

インターネット上では、自動化された仕組みで脆弱なサイトやログイン画面を探す攻撃もあります。

そのため、アクセス数が少ないサイトや小規模事業者のホームページであっても、リスクがないとは言えません。

むしろ、担当者が不在だったり、更新管理を長期間放置していたりするサイトでは、問題の発見が遅れることも考えられます。

あなたのサイトは大丈夫？今すぐ確認したい5項目

WordPressを運営している方は、次の項目を確認してみてください。

1．WordPress本体は最新か？

更新通知を放置していないか確認しましょう。

2．プラグインやテーマは更新されているか？

使用していないプラグインやテーマは削除し、必要なものも更新状況を確認します。

3．PHPのバージョンはサポート対象か？

レンタルサーバーの管理画面などで、現在のPHPバージョンを確認しましょう。

4．管理者アカウントは適切に管理されているか？

使っていないアカウントが残っていないか、推測されにくいパスワードを使用しているか確認します。

5．バックアップは取得しているか？

万一の改ざんや障害に備え、復旧できる状態を整えておきましょう。

これらは基本的な対策ですが、放置している項目があれば見直すきっかけになります。

そもそもWordPressを使う必要はありますか？

ここで、一つ考えてみてください。

あなたのホームページは、WordPressでなければ運営できないサイトでしょうか？

ブログやニュースサイトのように、管理画面から頻繁に記事を更新するなら、WordPressは便利です。

しかし、次のようなページであれば、必ずしもWordPressを使う必要はありません。

- 商品・サービスの紹介ページ

- 会社や店舗の案内ページ

- キャンペーン用のLP

- 問い合わせや申し込みにつなげるページ

こうした用途なら、HTML・CSSを中心とした静的サイトという選択肢があります。

静的サイトは、WordPress本体やプラグインを使わない構成にできるため、それらの更新管理が不要になります。

また、データベースへの依存を減らし、シンプルな構成にできることもメリットです。

もちろん、静的サイトにすればセキュリティリスクがゼロになるわけではありません。問い合わせフォームや外部サービスを利用する場合は、それぞれの対策も必要です。

大切なのは、サイトの目的に合った仕組みを選び、管理する範囲を必要以上に増やさないことです。

被害に遭ってからでは遅い

不正ログインやサイトの乗っ取りは、実際に被害に遭うまで危機感を持ちにくいものです。

しかし、被害が発生してからでは、復旧作業や原因調査、顧客への説明など、さまざまな負担が発生します。

「うちは大丈夫」と考えて何もしないのではなく、今のうちにサイトの管理方法を見直してみてはいかがでしょうか。

WordPressの更新管理やプラグインの保守に負担を感じているなら、WordPressを使わない静的LPに切り替えるという方法もあります。

商品やサービスの紹介など、シンプルなページであれば、静的LPで目的を十分に果たせる場合があります。

WordPressにこだわらず、必要な機能だけを備えたサイトにする。

それも、サイトを長く運用していくための一つの選択肢です。

WordPressに依存しない静的LPを制作しています

WordPressの更新管理を減らし、シンプルに運用できる静的LPを制作しています。

HTML・CSSを用いた1ページのLP制作に対応し、Cloudflare Pagesでの公開もサポートします。

WordPressの管理負担を減らしたい方、商品やサービスの紹介ページを新しく作りたい方は、こちらをご覧ください。

WordPress不要の高速LP制作サービス