ホームページのセキュリティ対策｜費用ゼロでできる5つから
攻撃は脆弱性のあるサイトを機械的に探して回ります。規模は関係ありません。
ホームページのセキュリティ対策は、 高価なツールを入れることではありません。
実際の被害の大半は、 更新されていない、パスワードが弱い、権限が広すぎるという 基本的な運用の問題から起きています。
何が起きるのか
| 被害 | 症状 | 影響 |
|---|---|---|
| 改ざん | 別サイトへ転送される／見えないリンクが埋め込まれる | 検索エンジンの警告、流入停止 |
| 不正ログイン | 管理画面を乗っ取られる | 内容の書き換え、データ流出 |
| 情報漏洩 | 問い合わせ内容や会員情報が流出 | 報告義務、信用の毀損 |
| 踏み台化 | 他サイトへの攻撃や迷惑メールの送信元にされる | 加害者になる |
| サービス停止 | サーバーが応答しなくなる | 機会損失 |
最も気づきにくいのが改ざんです。 トップページが書き換えられれば当日分かりますが、 「特定の条件でだけ別サイトに転送する」といった細工は、 社内から見ると正常に見えます。 検索エンジンからの警告や、取引先からの指摘で初めて気づくことになります。
まずやるべき5つ（費用ゼロ）
- CMS本体とプラグイン・テーマを更新する（月1回でよい）
- 使っていないプラグイン・テーマを削除する（無効化では不十分。削除する）
- 管理画面のパスワードを強くする（使い回しをやめる）
- ユーザーの権限を必要最小限にする（更新担当は編集者権限で足りる）
- 退職者のアカウントを削除する
2つめの「無効化では不十分」は重要です。 無効化しただけのプラグインもファイルはサーバー上に残り、 脆弱性を突かれることがあります。 使わないものは削除してください。
5つめは忘れられがちです。 退職した社員や、契約が終わった制作会社のアカウントが 管理者権限のまま残っているサイトは珍しくありません。 年に1回、ユーザー一覧を確認してください。
更新を止めてしまう理由と、その対処
| 止まる理由 | 対処 |
|---|---|
| 更新すると表示が崩れたことがある | テスト環境で試してから本番に適用する |
| カスタマイズがコアを触っていて更新できない | フックや子テーマで作り直す |
| 誰が更新するか決まっていない | 保守契約に含めるか、社内担当を決める |
| 更新して壊れたときに戻せない | 更新前にバックアップを取る |
「コアを触っていて更新できない」状態が最も危険です。 WordPressのコアファイルを直接改変すると、 更新するたびにその改変が消えるため、 更新を止めるという選択をしてしまいます。 結果として脆弱性が何年も放置されます。 この状態にあるなら、カスタマイズの方法を作り直すべきです。
費用をかける対策
| 対策 | 費用の目安 | 効果 |
|---|---|---|
| WAF（攻撃の遮断） | 月0〜5,000円 | 共用サーバーに標準搭載のことも多い |
| 管理画面のIP制限 | 設定のみ | 外部からの不正ログインを大幅に減らせる |
| 二段階認証 | プラグインで無償 | パスワード流出時の被害を防ぐ |
| 改ざん検知 | 月1,000〜10,000円 | 気づけないリスクを下げる |
| 自動バックアップ（外部保存） | 月0〜3,000円 | 復旧できる状態を保つ |
| 脆弱性診断 | 20万〜100万円 | 会員機能や決済がある場合に検討 |
まずWAFが有効になっているか確認してください。 主要な共用サーバーには標準で用意されていますが、 初期状態でオフになっていることがあります。 管理画面で確認するだけなので、費用も手間もかかりません。
管理画面のIP制限も効果が大きい割に簡単です。 更新作業を社内からしか行わないなら、 会社の固定IPからのみ管理画面にアクセスできるようにすれば、 外部からの総当たり攻撃はそもそも届きません。
個人情報を扱う場合
問い合わせフォームで氏名・連絡先を受け取る時点で、 個人情報を扱っていることになります。
- 全ページを常時暗号化する（httpsにする）
- 取得した情報の保管場所と保管期間を決める
- アクセスできる人を限定する
- プライバシーポリシーに利用目的を明記する
- 漏洩時の報告体制を決めておく
会員登録や決済を扱う場合は、要求される水準が一段上がります。 この場合は制作会社にセキュリティ要件を明示し、 対応内容を見積もりに含めてもらってください。
やられてしまった場合
- サイトを一時的に非公開にする（被害の拡大を止める）
- 制作会社・サーバー会社に連絡する
- 全パスワードを変更する（管理画面・FTP・データベース）
- 感染前のバックアップから復旧する
- 原因になった脆弱性を塞ぐ（塞がないと再発する）
- 個人情報が関わる場合は、報告と通知の要否を確認する
4つめで「感染前」のバックアップが必要になります。 改ざんに気づくまで数週間かかることがあるため、 保存期間が短いと正常な状態が残っていません。 この点でも、バックアップの保存期間は30日以上を確保しておくべきです。
5つめを飛ばすと必ず再発します。 復旧しただけでは、入り口はそのまま残っています。 どのプラグインの、どのバージョンの問題だったのかを特定してください。
よくある質問
うちのような小さい会社が狙われますか？
狙われます。攻撃の大半は「特定の会社を狙う」のではなく、<strong>脆弱性のあるサイトを機械的に探して回る</strong>形で行われます。規模は関係なく、更新が止まっているサイトが対象になります。
改ざんされるとどうなりますか？
見た目が変わらないまま、訪問者を別のサイトに転送する、不正なプログラムを配布する、といった状態になります。検索エンジンに検知されると警告が表示され、流入が止まります。取引先からの信用にも影響します。
WordPressは危険だと聞きました。
WordPress自体が特別に脆弱なわけではありません。利用者が非常に多いため攻撃の対象になりやすく、かつ<strong>更新されないまま放置されたサイトが多い</strong>のが理由です。本体とプラグインを更新し続けていれば、実務上のリスクは大きく下がります。
対策にどれくらい費用がかかりますか？
基本的な対策はほとんど費用がかかりません。更新、パスワード、権限設定、バックアップはすべて運用の話です。有償になるのは、WAFの導入（月数千円〜）や定期的な脆弱性診断（数十万円〜）といった上位の対策です。まず無償でできることを済ませてください。
掲載している金額は、一般的な発注で見かける水準をもとにした目安です。 実際の費用は要件・地域・体制によって変わります。必ず複数社から見積もりを取り、 「何が含まれていて、何が含まれていないか」を比べたうえでご判断ください。