「うちのサイトは小さいから、ハッカーに狙われることはないはず」

そう思っていませんか？実はこれ、大きな誤解です。

サイバー攻撃の多くは人間が手動でターゲットを選んでいるわけではありません。自動化されたボットが、世界中のサイトを24時間365日スキャンし続けています。規模に関係なく、脆弱性があれば攻撃を受けます。

この記事では「WordPressのセキュリティ脆弱性とは何か」を具体的に掘り下げ、放置するとどんな被害が起きるのか、そしてどう対策すればいいのかを解説します。

前回の記事「WordPressを更新しないと何が起きる？7つのデメリット」でも触れましたが、今回はセキュリティの部分に特化して詳しく見ていきましょう。

WordPressの脆弱性とは？

「脆弱性」とは、プログラムの設計や実装上の欠陥のことです。攻撃者はその欠陥を利用して、本来アクセスできないはずの場所に侵入したり、意図しない処理を実行させたりします。

WordPressには主に3つの層があります。

WordPressはオープンソースなので、ソースコードが公開されています。これは開発者にとってはありがたいことですが、攻撃者にとっても「どこに欠陥があるか調べやすい」という側面があります。

実際にどんな攻撃が来るのか

① ブルートフォース攻撃（総当たり攻撃）

管理画面（/wp-admin）に対して、ありとあらゆるパスワードを自動で試し続ける攻撃です。

「admin」「password」「123456」など、よく使われるパスワードを片っ端から試してきます。ログインに成功すれば、サイト全体を乗っ取られます。

② SQLインジェクション

フォームや検索欄などに、悪意のあるSQL文を入力して、データベースを不正操作する攻撃です。個人情報の抜き取り、データの改ざん・削除などが行われます。

③ XSS（クロスサイトスクリプティング）

サイトに悪意のあるJavaScriptを埋め込み、訪問者のブラウザ上で実行させる攻撃です。訪問者のクッキー情報を盗んだり、フィッシングサイトに誘導したりします。

④ ファイルインクルード攻撃

プラグインやテーマの欠陥を利用して、外部のファイルをサーバー上で読み込ませる攻撃です。最悪の場合、サーバーを完全に乗っ取られます。

⑤ スパムメールの踏み台

サイトを乗っ取った後、そのサーバーを使って大量のスパムメールを送信するケースもあります。知らないうちに「スパム送信元」として自分のドメインがブラックリストに登録され、メール送信ができなくなることがあります。

放置するとどんな被害が起きる？

サイトが改ざんされる

最もよくある被害です。サイトのトップページが全く別のコンテンツ（アダルトサイトへの誘導、海外サイトへのリダイレクトなど）に書き換えられます。

お客様がサイトを開いたとき、そんな画面が表示されたら…。信頼はゼロになります。

Googleにブロックされる

Googleはセキュリティ上の問題があるサイトを検出し、検索結果に「このサイトは危険です」という警告を表示します。

これが出てしまうと、訪問者がほぼゼロになります。警告を解除してもらうまでに時間と手間がかかり、その間もビジネスに損害が出続けます。

個人情報が漏洩する

お問い合わせフォームや会員登録機能がある場合、お客様の名前・メールアドレス・電話番号などが外部に漏洩します。

個人情報保護法の観点から、漏洩が発覚した場合は報告義務が生じるケースもあります。

SEOスパムを埋め込まれる

「SEOスパムインジェクション」と呼ばれる攻撃で、サイトの見えない部分に大量のスパムリンクや怪しいキーワードを埋め込まれます。外見上はサイトが正常に見えるため気づきにくく、Googleからペナルティを受けて検索順位が急落するまで発覚しないことがあります。

どうやって脆弱性は修正されるのか

WordPressやプラグインの開発者は、脆弱性が発見されると修正プログラム（パッチ）をリリースします。これがアップデートです。

重要なのは、脆弱性の情報は公開されるという点です。セキュリティ研究者が発見した脆弱性は、一定期間後に公開されます。これにより「この脆弱性を持つバージョンはこれ」という情報が攻撃者にも知られることになります。

つまり、更新していないサイトは「既知の穴が開いたまま」であり、攻撃者はその穴を狙って自動スキャンをかけてきます。

具体的な対策

① WordPress・プラグイン・テーマを最新に保つ

これが最も基本的かつ効果的な対策です。管理画面の「更新」メニューを定期的に確認し、アップデートを適用しましょう。

ただし、アップデートによってサイトが崩れることもあるため、必ずバックアップを取ってから実施することをおすすめします。

② 管理者パスワードを強化する

パスワードは最低でも以下の条件を満たしましょう：

• 12文字以上
• 英大文字・英小文字・数字・記号を混在
• 他のサービスとの使い回しをしない

WordPressには強力なパスワードを自動生成する機能があります。ぜひ活用してください。

③ ログイン試行回数を制限する

「Limit Login Attempts Reloaded」などのプラグインを使うと、一定回数ログインに失敗したIPアドレスをブロックできます。ブルートフォース攻撃への有効な対策です。

④ セキュリティプラグインを導入する

「Wordfence Security」や「SiteGuard WP Plugin」などのセキュリティプラグインは、不審なアクセスの検知・ブロック、マルウェアのスキャンなどを自動で行ってくれます。

⑤ 定期的なバックアップ

万一の被害に備え、定期的なバックアップは必須です。バックアップがあれば、攻撃を受けても復旧できます。

「UpdraftPlus」などのプラグインを使えば、Google DriveやDropboxへの自動バックアップが設定できます。

まとめ：セキュリティは「後回し」では取り返しがつかない

WordPressのセキュリティ対策をまとめると：

• 攻撃は規模に関係なく自動で行われている
• 脆弱性の情報は公開されるため、古いバージョンは狙われやすい
• 被害が出てからでは信頼回復に時間とコストがかかる
• 基本的な対策（更新・強いパスワード・バックアップ）で防げることが多い

「何かあってから対処する」という考え方では手遅れになることがほとんどです。特に更新の放置とバックアップなしの組み合わせは最もリスクが高い状態です。

ホームページの保守・管理は地味な作業に見えますが、ビジネスを守るための重要な投資です。ぜひ定期的なメンテナンスを習慣にしてみてください。