あなたのホームページを見ただけでPCが感染？WordPress放置に潜む危険

「怪しいサイトにはアクセスしないようにしているから大丈夫」

そう考えている方も多いのではないでしょうか。

しかし、注意しなければならないのは、最初から怪しいサイトだけではありません。

普段利用している正規のホームページが、いつの間にか攻撃者に改ざんされている可能性もあるのです。

最近、身近なところでもパソコンの不正操作やクレジットカードの不正利用が起きました。決して他人事ではないと感じます。

実は、Webサイトのセキュリティ問題は、サイトを運営する人だけでなく、訪問する人にも影響を与える可能性があります。

今回は、WordPressサイトを放置するリスクと、閲覧者に及ぶ被害について解説します。

1. Webサイトを見ただけでPCが感染することがある？

実際に、Webサイトを閲覧したことがきっかけで、パソコンがマルウェアに感染するケースがあります。

その代表的な手口の一つが「ドライブバイ・ダウンロード」です。

これは、改ざんされたWebサイトなどを訪問した際、ブラウザや関連ソフトウェアの脆弱性を悪用され、不正なプログラムを実行される攻撃手法です。

例えば、次のような流れです。

1. 攻撃者が正規のWebサイトに不正なコードを仕込む。

2. 利用者がそのサイトにアクセスする。

3. ブラウザなどの脆弱性が悪用される。

4. パソコンにマルウェアが侵入する。

5. 情報窃取や不正操作などにつながる。

必ずしも、利用者が怪しいファイルをダウンロードしたり、リンクをクリックしたりするとは限りません。

ただし、アクセスしただけで必ず感染するわけではありません。ブラウザやOSが最新の状態であれば、攻撃を防げるケースもあります。

重要なのは、普段利用しているサイトだから安全とは限らないということです。

2. WordPressサイトが乗っ取られると何が起きる？

WordPressは世界中で利用されている便利なCMSですが、適切な管理を怠ると、不正アクセスやサイト改ざんのリスクが高まります。

特に注意したいのが、次のような管理不足です。

- WordPress本体の更新を放置している

- 古いプラグインを使い続けている

- 脆弱性が修正されていないテーマを利用している

- PHPの古いバージョンを使い続けている

- 管理者アカウントやパスワードの管理が不十分

脆弱性のあるソフトウェアや盗まれたログイン情報などが、侵入のきっかけになる場合があります。

WordPress公式も、本体・プラグイン・テーマの更新や、アカウント管理などのセキュリティ対策を案内しています。

WordPress.org+1

3. 乗っ取られたサイトは訪問者にも被害を及ぼす

サイトが改ざんされると、運営者だけでなく、訪問者にも影響が及ぶ可能性があります。

例えば、次のような被害です。

マルウェアの配布

サイトに不正なファイルやプログラムを設置され、訪問者がマルウェアに感染するおそれがあります。

偽サイトへの転送

正規のページにアクセスしたはずなのに、偽のログイン画面や不審なサイトに転送されることがあります。

個人情報の窃取

偽の入力画面などを設置され、訪問者がパスワードや個人情報を入力してしまう可能性があります。

サイトの信用低下

セキュリティソフトや検索エンジンから危険なサイトとして警告され、顧客や取引先からの信用を失うことも考えられます。

警察庁も、Webサイトの改ざんによって、閲覧者がウイルスに感染するおそれがあると注意喚起しています。

つまり、サイトのセキュリティ管理は、運営者自身を守るだけの問題ではありません。

訪問してくれる顧客や取引先を守ることにもつながるのです。

4. サイト運営者が気づかないうちに被害が広がる

さらに厄介なのが、サイトを改ざんされても、運営者がすぐに気づくとは限らないことです。

通常どおりホームページが表示されているように見えても、裏側に不正なコードが埋め込まれている可能性があります。

例えば、

- 特定の条件でアクセスした場合だけ不正なページに転送される

- 一部の訪問者だけに不正なコンテンツが表示される

- 見覚えのないファイルがサーバーに追加されている

- 管理者が知らないユーザーアカウントが作成されている

といったケースです。

WordPress公式も、悪意あるスクリプトの埋め込み、不正なファイルの追加、マルウェア配布などをハッキング被害の例として紹介しています。

WordPress.org 日本語+1

自分では気づかないまま、訪問者に被害を与えてしまう可能性があるのです。

5. WordPressを放置しないために確認したい6項目

WordPressサイトを運営している方は、次の項目を確認してみてください。

1. WordPress本体を更新しているか

更新通知を放置せず、適切なバックアップを取ったうえでアップデートしましょう。

2. プラグインやテーマを更新しているか

使っていないプラグインやテーマは削除し、必要なものも更新状況を確認します。

3. PHPのバージョンはサポート対象か

古いバージョンを使い続けていないか、レンタルサーバーの管理画面などで確認しましょう。

4. 管理者アカウントを適切に管理しているか

不要なアカウントを削除し、推測されにくいパスワードや二段階認証を活用しましょう。

5. バックアップを取得しているか

万一の改ざんや障害に備え、復旧できる状態を整えておきましょう。

6. 不審な変更がないか確認しているか

見覚えのないファイルやユーザー、ページの変更などがないか定期的に点検しましょう。

6. そもそもWordPressを使う必要はありますか？

ここで、一度考えてみてください。

あなたのホームページは、本当にWordPressでなければ運営できないサイトでしょうか？

ブログやニュースサイトのように、管理画面から頻繁に記事を更新するのであれば、WordPressは便利です。

一方、次のようなページであれば、必ずしもWordPressを使う必要はありません。

- 商品やサービスの紹介ページ

- 会社や店舗の案内ページ

- キャンペーン用のLP

- 問い合わせや申し込みにつなげるページ

こうした用途なら、HTML・CSSを中心とした静的サイトという選択肢があります。

静的サイトは、WordPress本体やプラグインを使わない構成にできるため、それらの更新管理が不要になります。

また、データベースへの依存を減らし、シンプルな構成にできることもメリットです。

ただし、静的サイトなら絶対に安全というわけではありません。外部サービスや問い合わせフォーム、使用するスクリプトなど、それぞれの安全性を確認する必要があります。

大切なのは、サイトの目的に合った仕組みを選び、管理する範囲を必要以上に増やさないことです。

7. 被害に遭ってからでは遅い

Webサイトのハッキングは、決して大企業だけの問題ではありません。

小規模事業者や個人事業主のホームページであっても、不正アクセスや改ざんのリスクはあります。

そして、被害はサイト運営者だけにとどまらず、訪問者や顧客にまで及ぶ可能性があります。

「今まで問題がなかったから大丈夫」

「アクセス数が少ないから狙われない」

そう考えて更新や点検を後回しにしていないでしょうか。

何か起きてから対処するのではなく、問題が起きる前に運用方法を見直すことが大切です。

WordPressの管理負担を減らすという選択肢

WordPressの更新管理やプラグインの保守に負担を感じているなら、サイトの構成そのものを見直してみるのも一つの方法です。

商品やサービスの紹介など、シンプルなページであれば、WordPressを使わない静的LPで目的を果たせる場合があります。

HTML・CSSを用いた静的LPなら、WordPress本体やプラグインの更新管理が不要な構成にできます。

私のサービスでは、WordPressに依存しない静的LPを制作し、Cloudflare Pagesでの公開もサポートしています。

「WordPressの管理を減らしたい」

「シンプルで運用しやすいLPを作りたい」

そんな方は、こちらをご覧ください。

WordPress不要の高速LPを制作します