ウェブサイトを運営する上で、セキュリティ対策は避けて通れない課題です。特に世界中で広く使われているCMS（コンテンツ管理システム）であるWordPressは、その普及率の高さゆえに、サイバー攻撃の主要な標的となりやすいという側面があります。
WordPressはその利便性の高さから多くのサイトで利用されていますが、その構造上、特にテーマやプラグインの管理がセキュリティの鍵となります。サイバー攻撃は日々巧妙化しており、御社のサイトも例外ではありません。
常に最新の状態を保つこと、基本的な対策を徹底することに加え、必要であれば専門家によるセキュリティ診断（脆弱性診断やペネトレーションテスト）を活用し、自身のサイトの弱点を知り、改善していくことが、安全なWordPressサイト運営には不可欠です。
ウェブサイトのセキュリティ対策は、一度行えば終わりではなく、継続的な取り組みが求められます。常に最新の脅威情報を収集し、適切な対策を講じ続けることが、大切なビジネス資産であるウェブサイトを守ることに繋がります。
「自社のサイトは規模が小さいから大丈夫だろう」と考えていませんか？
しかし、サイバー攻撃は大企業だけでなく、中小企業も例外なく標的となります。大企業が特定の標的に対して行われる攻撃が多いのに対し、中小企業は、IPアドレスを無差別にスキャンし、見つかった脆弱性を悪用するランダムな攻撃の標的になることが多いといわれています。
たとえオンラインビジネスを直接行っていなくても、サイバーセキュリティのリスクに備えることは不可欠です。
今回は、WordPressサイト特有のリスクと、それにどう立ち向かうべきかについて掘り下げていきます。
WordPressサイトならではの主なリスク
WordPressサイトが直面するリスクとして、特に注意が必要なのは以下の点です。
1. テーマやプラグインの脆弱性
WordPressの大きな魅力は、豊富なテーマやプラグインを使って簡単に機能を追加できる点です。しかし、これらが適切にメンテナンス・更新されていない場合、既知の脆弱性が含まれている可能性があります。攻撃者はこれらの脆弱性を悪用して、不正アクセスを試みます。過去に多くの、古くなったWordPressプラグインの脆弱性がサイバー攻撃のターゲットになった事例があります。また、不要になったテーマやプラグインを放置しておくことも、攻撃対象となるリスクを高めるため避けるべきです。
2. WordPressコアの脆弱性
WordPress本体（コア）にも、稀に脆弱性が発見されることがあります。これはWordPressの開発チームによって迅速に修正されますが、サイトのコアを最新の状態に保っていない場合、攻撃者によって悪用されるリスクに晒されます。
これらの技術的な脆弱性が悪用されることで、WordPressサイトは様々な被害に遭う可能性があります。
WordPressサイトがこうした攻撃を受けた場合、以下のような被害が考えられます。
•ウェブサイトの改ざん（Webサイトが改ざんされる）：
サイトのデザインや内容が書き換えられたり、悪意のあるコンテンツが埋め込まれたりします。
•情報漏洩（個人データが流出）：
顧客情報や機密情報が盗み出され、流出する可能性があります。
•ランサムウェア感染（データが暗号化され、アクセス不能になる）：
サイトのデータが暗号化され、復旧のために身代金を要求されます。
•サイト停止・サービス停止：
攻撃によりサイトがダウンし、ビジネスが停止する可能性があります。
•信頼性の失墜：
情報漏洩や改ざんは、顧客や取引先からの信頼を大きく損ないます。
•復旧コストと時間：
被害からの復旧には、多大なコストと時間がかかります。KADOKAWAの事例では、システムの復旧に約2ヶ月の時間を有しました。
また、Broken Access Controlといった脆弱性を悪用し、攻撃者が認証や権限の制限を回避して機密ファイルや管理者権限に不正アクセスするケースも増えています。
この想定しなくてはいけない被害についても、よくある理解の間違いがあります。
「うちのWebは個人情報含んでないから情報漏洩しない。あと、うちのWebなんて誰も見てないから、最悪改ざんされても、それから対応考えるよ。」このような声をよく聞きます。
この考えはリスクを正しく理解できているとは言えません。上記コメントのようなWebであったとしても技術的には以下のようなことが起こり得ます。御社のWeb、御社のビジネスや風評被害への影響が小さくとも、結果として御社のWebが加害者側に与してしまうことになるうるのです。
1. Webサイトの改ざん：
特定の会社や個人や特定の信条を傷つけるような内容にされてしまうこともあります。悪質な宣伝や、偽情報の拡散に利用されることもあります。
2. マルウェア感染の踏み台にされる：
Webサイトを閲覧したユーザーのコンピューターにマルウェア（悪意のあるソフトウェア）を感染させるための踏み台として悪用されます。これにより、自社だけでなく、顧客や取引先にまで被害が拡大する可能性があります。
3. スパムメールの送信拠点にされる：
Webサイトのサーバーを乗っ取られ、大量のスパムメール送信に悪用されることがあります。
4. DDoS攻撃の加担：
Webサイトのサーバーが、他の標的へのDDoS攻撃（大量のデータで負荷をかけ、サービスを停止させる攻撃）に加担させられることがあります。
5. システムの乗っ取りと悪用：
Webサイトの管理システムに侵入され、機密情報が窃取されたり、システム設定が変更されたりします。ランサムウェア攻撃の場合は、データが暗号化され、解除と引き換えに身代金を要求されます。
6. サプライチェーン攻撃の起点：
もしあなたの会社が取引先のシステムと連携している場合、あなたのWebサイトが起点となり、取引先や関連企業にまで被害が及ぶサプライチェーン攻撃が発生するリスクがあります。
上記までで、どんなWebサイトでも（特にWordPressサイトだと）サイバーセキュリティ対策を行わなければならないことは必須だとご理解いただけかと思います。次にWordPressで行わなくてはならないセキュリティ対策をみていきましょう。
今すぐできるWordPressサイトのセキュリティ対策
これらのリスクからWordPressサイトを守るためには、以下の対策が不可欠です。
- WordPressコア、テーマ、プラグインを常に最新の状態に保つ
これが最も基本的な、そして重要な対策です。アップデートには既知の脆弱性の修正が含まれています。自動更新を有効にするか、定期的に手動で更新を確認しましょう。
- 強力なパスワードの使用と二段階認証の設定
管理画面へのアクセスには、推測されにくい複雑なパスワードを使用し、可能であれば二段階認証を設定しましょう。フィッシング攻撃による認証情報の窃盗リスクを減らすためにも重要です。
- 不要なテーマやプラグインは削除する
使用していないものは削除し、攻撃を受ける可能性のあるポイントを減らしましょう。
- 信頼できる提供元からのみインストールする
テーマやプラグインは、公式ディレクトリや信頼できる開発元からのみ入手しましょう。
- 定期的なバックアップを取得する
万が一、データが暗号化されたり、サイトが破壊されたりした場合でも、バックアップがあれば復旧が可能です。
- ウェブサイトのセキュリティ診断（ペネトレーションテスト）を実施する
自社のサイトにどのような脆弱性が存在するかを専門家に見てもらうことが、リスクを最小限に抑える上で非常に効果的です。
1から5まではある意味、当たり前のことで、ここまでは対応できている企業は多くあるでしょう。しかし残念ながら、こういった”当たり前の対策”だけでは、巧妙化するハッカーからの攻撃で、御社のWebを悪事に利用されてしまうことを防ぐことはできません。ここで大切なのが、国際的なセキュリティ対策では一般的な「ペネトレーションテスト」を実施することです。このテストで脆弱性を把握し修復することによって、攻撃可能な『穴』を埋めることが重要になるのです。
◦ペネトレーションテスト（Penetration Testing; Pentest）：
ペネトレーションテストではまず、実際のハッカーが取る手法を模倣し、システムに侵入を試みることで、潜在的な脆弱性や複数の脆弱性を組み合わせた攻撃経路を発見します。
これにより、悪用される前に具体的な改善策を講じることが可能になります。ペネトレーションテストがセキュリティリスクの特定と優先順位付け、そして高コストな侵害を防ぐのに非常に役立ちます。
企業のウェブサイトやオンラインシステムに脆弱性がある場合、ハッキング攻撃の足がかりにされたり、ウェブサイトが改ざんされたりする事案は多く発生・頻発しており、診断の重要性が高まっています。
まとめ
WordPressはその利便性の高さから多くのサイトで利用されていますが、その構造上、特にテーマやプラグインの管理がセキュリティの鍵となります。サイバー攻撃は日々巧妙化しており、あなたのサイトも例外ではありません。
常に最新の状態を保つこと、基本的な対策を徹底することに加え、必要であれば専門家によるセキュリティ診断（脆弱性診断やペネトレーションテスト）を活用し、自身のサイトの弱点を知り、改善していくことが、安全なWordPressサイト運営には不可欠です。
ウェブサイトのセキュリティ対策は、一度行えば終わりではなく、継続的な取り組みが求められます。常に最新の脅威情報を収集し、適切な対策を講じ続けることが、大切なビジネス資産であるウェブサイトを守ることに繋がるのです。
