「うちみたいな小さな会社のサイトは攻撃されないでしょ」
残念ながら、これは大きな誤解です。中小企業のWordPressサイトは、大企業のサイトと同様に、毎日世界中からサイバー攻撃を受けています。むしろ、セキュリティ対策が手薄な中小企業のサイトは「攻略しやすいターゲット」として狙われやすいのです。
この記事では、なぜWordPressが狙われるのか、具体的にどんな被害が起きるのか、そして今すぐできるセキュリティ対策を詳しく解説します。
なぜWordPressサイトは狙われるのか
WordPressは世界中のWebサイトの約43%で使われているCMSです。普及率が高いということは、一つの脆弱性が見つかれば、世界中の大量のサイトが被害を受ける可能性があるということでもあります。
攻撃者はWordPressの既知の脆弱性を自動スキャンするツールを使って、世界中のWordPressサイトを無差別に攻撃します。「ターゲットを絞って攻撃する」のではなく、「脆弱なサイトを大量に自動検索して攻撃する」のです。これが「うちみたいな小さなサイトは大丈夫」が誤りである理由です。
被害を受けるとどうなるか
- サイトの改ざん：ホームページの内容が書き換えられ、フィッシングサイトや詐欺サイトに変えられる
- マルウェアの設置：サイト訪問者のPCにウイルスを送り込む踏み台にされる
- スパムメールの送信：自社サーバーから大量のスパムメールが送信され、IPアドレスがブラックリスト入りする
- 情報漏洩：顧客情報・お問い合わせデータが盗まれる
- SEO被害：Googleから「危険なサイト」と判断され、検索から除外される
- サービス停止：サーバーに過負荷がかかりサイトが表示されなくなる
被害を受けると、信頼の回復・復旧作業・SEO回復に数ヶ月〜1年かかることも珍しくありません。
今すぐできるWordPressセキュリティ対策10選
① WordPressを常に最新バージョンに保つ
WordPressのアップデートには多くの場合セキュリティ修正が含まれています。「アップデートして壊れたら怖い」という心理で放置するサイトが多いですが、これは非常に危険です。定期的にアップデートを行い、アップデート前にバックアップを取ることを習慣にしましょう。
② プラグイン・テーマも最新バージョンに保つ
WordPressへの攻撃の多くは、WordPressコア本体よりもプラグイン・テーマの脆弱性を突いたものです。使っているプラグイン・テーマは常に最新バージョンに保ちましょう。使っていないプラグイン・テーマは削除することも重要です。
③ 管理者ユーザー名を「admin」にしない
「admin」というユーザー名はWordPressのデフォルトで、攻撃者が最初に試みるユーザー名です。管理者アカウントのユーザー名を推測されにくいものに変更してください。
④ 強力なパスワードを使う
12文字以上の英数字・記号を組み合わせたパスワードを使いましょう。パスワード管理ツール（1Password・Bitwarden等）を使うことで、複雑なパスワードを安全に管理できます。
⑤ 二段階認証を設定する
プラグイン（WP 2FA等）を使って、ログイン時に二段階認証を設定しましょう。パスワードが漏洩しても、認証アプリによる確認がなければログインできなくなります。
⑥ ログイン試行回数を制限する
「Limit Login Attempts Reloaded」などのプラグインで、一定回数以上のログイン失敗でIPアドレスをブロックする設定をしましょう。ブルートフォース攻撃（パスワードを総当たりで試す攻撃）を防げます。
⑦ SSL（https）を必ず設定する
httpsでないサイトは、Googleから「安全でないサイト」と表示されます。多くのサーバーでSSL証明書が無料で提供されているため、設定していない場合は今すぐ対応しましょう。
⑧ 定期的にバックアップを取る
被害を受けた際の最後の砦がバックアップです。週次または月次でサイトデータ・データベースのバックアップを取り、サーバー外（クラウドストレージ等）に保存しましょう。
⑨ セキュリティプラグインを導入する
「Wordfence Security」「SiteGuard WP Plugin」などのセキュリティプラグインを導入することで、不正アクセスの検知・ブロック・ログイン保護などが自動化できます。
⑩ サーバーのセキュリティ設定を確認する
WordPressを設置しているサーバーのセキュリティ設定も重要です。WAF（Webアプリケーションファイアウォール）の有効化、不要なファイルの実行制限などをホスティング会社の管理画面で確認しましょう。
セキュリティ対策チェックリスト
| 対策 | 対応済み |
|---|---|
| WordPressを最新バージョンにアップデートしている | □ はい / □ いいえ |
| すべてのプラグイン・テーマが最新バージョン | □ はい / □ いいえ |
| 管理者ユーザー名が「admin」以外 | □ はい / □ いいえ |
| 強力なパスワード（12文字以上）を使用 | □ はい / □ いいえ |
| 二段階認証を設定している | □ はい / □ いいえ |
| サイトがSSL（https）対応している | □ はい / □ いいえ |
| 定期的なバックアップを取っている | □ はい / □ いいえ |
まとめ
WordPressのセキュリティ対策は「難しい」ものではありません。基本的な対策を積み重ねることで、ほとんどの攻撃は防げます。「被害を受けてから対処する」より「被害を受けないよう予防する」方がはるかにコストが低いです。
satokotadesignでは、WordPressのセキュリティ診断・設定・保守管理を浜松・静岡西部の企業様向けに承っています。「自社サイトのセキュリティが心配」という方はお気軽にご相談ください。
