WordPressのセキュリティは大丈夫？情報漏洩リスクとWEBサイトを守るための対策

企業のWEBサイトを狙ったサイバー攻撃や、個人情報の漏洩が問題になっています。

WEBサイトへの不正アクセスによって、顧客情報が流出したり、サイトが改ざんされたりすると、企業の信頼低下だけでなく、サービスの停止や復旧対応など、事業活動にも影響が及ぶ可能性があります。

こうした攻撃は、必ずしも特定の企業を狙ったものとは限りません。WEBサイトの脆弱性や設定の不備を自動的に探し、攻撃できるサイトを無差別に狙うケースもあります。

企業のWEBサイトで広く利用されているWordPressも例外ではありません。ただし、WordPressを利用していること自体が、直ちに危険というわけではありません。大切なのは、どのようなリスクがあり、自社サイトで適切な対策が取られているかを把握することです。

本記事では、WordPressの代表的なセキュリティリスクと、企業のWEB担当者が確認しておきたい対策を整理します。また、セキュリティを維持するための保守体制や、今後のWEBサイト構築で検討できる選択肢についてもご紹介します。

WordPressにはどのようなセキュリティリスクがあるのか

WordPressは、専門的なプログラミング知識がなくても、記事やページを管理・更新できるCMS（コンテンツ管理システム）です。豊富なテーマやプラグインによって、さまざまな機能を追加できることも特長です。

一方で、WordPressは本体だけでなく、追加したプラグインやテーマ、サーバー環境など、複数の要素で構成されています。

それぞれにセキュリティ上の弱点が生じる可能性があり、適切に管理されていない場合、不正アクセスやサイト改ざんなどの原因になることがあります。

WordPress本体やプラグインの脆弱性

脆弱性とは、プログラムやシステムに存在するセキュリティ上の弱点のことです。

WordPressでは、本体やプラグイン、テーマに脆弱性が発見されることがあります。悪用されると、不正なファイルの設置、WEBサイトの改ざん、条件によっては保存されている情報への不正アクセスなどにつながる可能性があります。

こうした問題に対応するため、WordPress本体やプラグインでは、セキュリティ上の修正を含むアップデートが提供されています。

ただし、アップデートが公開されても、自社サイトに適用されていなければ、脆弱性が残ったままになることがあります。

特に、長期間更新されていないプラグインや、開発・サポートが終了しているテーマなどには注意が必要です。

管理画面への不正ログイン

WordPressには、記事の投稿やページの編集、各種設定を行うための管理画面があります。

この管理画面も、攻撃対象のひとつです。

例えば、推測されやすいパスワードを使用していたり、複数の担当者で同じアカウントを共有していたりすると、不正ログインのリスクが高まります。

特に、管理者権限を持つアカウントが乗っ取られた場合、コンテンツの改ざんだけでなく、プラグインの追加や設定変更など、広い範囲に影響が及ぶ可能性があります。

また、退職した担当者や外部の制作会社に付与したアカウントが、使用されないまま残っているケースにも注意が必要です。

情報漏洩やサイト改ざんにつながる可能性

不正アクセスによる被害は、WEBサイトの表示が変更されることだけではありません。

お問い合わせフォームで取得した情報や、会員情報などをWEBサイト側で保存している場合、それらが漏洩するリスクも考えられます。

また、サイト内に不正なプログラムを設置され、訪問者が意図しない外部サイトに誘導されるといった被害も起こり得ます。

被害の範囲は、WEBサイトの構成や保存している情報、侵入された箇所によって異なります。

そのため、どのような情報を取得・保存しているのか、どの機能が外部サービスと連携しているのかを把握しておくことも、セキュリティ対策の重要な一歩です。

WordPressサイトで確認しておきたいセキュリティ対策

WordPressを安全に運用するには、脆弱性を放置しないことに加え、不正アクセスを防ぎ、問題が発生した場合に対応できる状態を整えておく必要があります。

ここでは、企業のWEB担当者が制作会社や保守担当者と確認しておきたい、代表的な対策をご紹介します。

1. WordPress本体・プラグインを適切に更新する

基本的な対策のひとつが、WordPress本体やプラグイン、テーマを適切に更新することです。

アップデートには、機能追加だけでなく、発見された脆弱性への修正が含まれる場合があります。

ただし、更新によってプラグイン同士の互換性や、WEBサイトの表示・動作に影響が出る可能性もあります。

そのため、バックアップや動作確認の方法を用意し、脆弱性の深刻度に応じて速やかに対応できる運用が重要です。

また、使用していないプラグインやテーマが残っている場合は、必要性を確認し、不要なものは削除することも検討します。

2. 管理画面へのアクセスと権限を管理する

管理画面への不正ログインを防ぐためには、推測されにくいパスワードの設定に加え、多要素認証の導入が有効です。

多要素認証とは、パスワードに加えて認証アプリなどを利用し、複数の要素で本人確認を行う仕組みです。

また、担当者ごとに必要な権限だけを付与することも大切です。

記事の更新だけを行う担当者に、プラグインの追加やシステム全体の設定を変更できる管理者権限が必要とは限りません。

定期的にアカウントを見直し、不要な権限や使用されていないアカウントを整理することで、不正アクセスによる影響を抑えることにもつながります。

3. WAFなどで不正なアクセスを防ぐ

WAF（Web Application Firewall）は、WEBサイトへの通信を検査し、攻撃と判断されるアクセスを検知・遮断する仕組みです。

WordPressに対する不正なリクエストなどへの防御策として利用できます。

レンタルサーバーが提供するWAFのほか、Cloudflareなどの外部サービスを利用する方法もあります。

ただし、WAFを導入すれば、すべての攻撃を防げるわけではありません。

設定や検知ルールによって防御できる範囲が異なるため、WordPressの更新や認証対策などと組み合わせて利用することが重要です。

4. バックアップと脆弱性監視を行う

セキュリティ対策では、攻撃を防ぐことだけでなく、問題の早期発見や復旧に備えることも大切です。

WEBサイトのファイルやデータベースを定期的にバックアップし、必要なときに復元できる状態を整えておきます。

また、WordPress本体や使用しているプラグインに新たな脆弱性が報告されていないか、継続的に確認することも重要です。

脆弱性情報を監視し、問題が検出された際に担当者へ通知する仕組みを導入すれば、手作業による確認の負担を減らすこともできます。

ただし、自動監視は問題を発見するための仕組みです。通知された内容を確認し、必要に応じて更新や設定変更を行わなければ、リスクの解消にはつながりません。

重要なのは、セキュリティ対策を継続できる運用体制

WordPressのセキュリティ対策は、一度設定すれば終わりというものではありません。

新たな脆弱性は継続的に発見されており、WordPress本体やプラグインの更新、サーバー環境の見直しなど、公開後も対応が必要になります。

例えば、使用しているプラグインに脆弱性が報告された場合には、自社サイトが影響を受けるバージョンを使用しているか、攻撃された場合にどのような問題が生じるかを確認します。

そのうえで、修正版への更新や、一時的な機能停止、アクセス制限など、状況に応じた対応を検討する必要があります。

対応後には、WEBサイトが正常に動作しているかを確認することも欠かせません。

こうした作業を、担当者が手作業で継続することは運用上の負担にもなります。そこで、脆弱性情報の監視や通知を自動化し、問題が見つかったときに必要な対応を判断できる仕組みを整えることが有効です。

ただし、自動化によってすべての作業が不要になるわけではありません。通知を受けたあとに、影響を調査し、修正・更新・動作確認を行う体制が必要です。

特に、社内にWEBサイトの専門担当者がいない場合や、制作会社に保守を任せている場合には、次のような点を確認しておくことをおすすめします。

• WordPress本体やプラグインの更新は、誰が担当しているか
• 脆弱性が発見された場合、どのように通知・対応されるか
• バックアップは取得され、必要なときに復元できるか
• 緊急時の調査や復旧は、保守契約の対象に含まれているか

WEBサイトを安全に運用するためには、個々のセキュリティ対策だけでなく、問題を発見してから対応するまでの流れを整えておくことが大切です。

WEBサイトの構成を見直すという選択肢も

WordPressは、適切なセキュリティ対策と継続的な保守を行うことで、リスクを低減しながら利用できるCMSです。

一方で、WEBサイトのリニューアルを検討する際には、CMSやサイト構成そのものを見直すという選択肢もあります。

例えば、WordPressをコンテンツ管理に利用しながら、公開サイトの表示部分を別の仕組み（Astroなど）で構築する方法や、WordPressに代えてmicroCMSなどのCMSを採用する方法です。

後者のようにWordPressを利用しない構成では、WordPress本体やプラグインに由来する攻撃対象をなくすことができます。

ただし、別のCMSを採用しても、管理アカウントやAPI、公開サイト側のプログラムなどのセキュリティ対策は必要です。また、既存サイトからの移行には費用や運用方法の検討も伴います。

ロンドマークでは、自社サイトのリニューアルにあたり、更新方法や保守・セキュリティ、将来的な運用などを踏まえてmicroCMSを採用しました。

CMSの選定理由については、以下の記事で詳しくご紹介しています。

関連記事：WordPressをCMSとして残さず、microCMSを選んだ理由

WordPressを安全に運用するために、まずは現状の確認から

WordPressのセキュリティリスクを低減するためには、本体やプラグインの更新、管理画面の保護、不正アクセスへの対策など、さまざまな取り組みが必要です。

また、それらの対策が現在も適切に機能しているかを確認し、問題が見つかった際に対応できる保守体制を整えることも重要になります。

「WordPressの更新が長期間止まっている」「現在のセキュリティ対策が十分かわからない」「保守の対応範囲を見直したい」といった場合には、一度WEBサイトの状況を確認してみてはいかがでしょうか。

ロンドマークでは、WordPressを利用したWEBサイトのセキュリティ対策や保守・運用についてご相談を承っています。

現在のサイト構成や運用状況、実施されている対策を確認し、必要な改善方法を検討するところからお手伝いします。