WordPressのセキュリティ対策7つ｜放置サイトが危ない理由
こんにちは、合同会社SAi代表の佐藤です。突然ですが、御社のホームページがWordPressで作られているなら、1つだけ質問させてください。最後に「更新」ボタンを押したのは、いつですか？
「制作会社に作ってもらってから、一度も触っていない」——この状態のWordPressサイトは、残念ながら攻撃者にとって格好の標的です。この記事では、なぜ放置されたWordPressが危ないのか、実際に何が起きるのか、そして今日からできる対策7つと根本的な解決策まで、開発者の立場から本音で解説します。
結論：WordPressが狙われるのは「有名で、放置されやすい」から
WordPressそのものが欠陥品なわけではありません。問題は組み合わせです。
- 世界のサイトの約4割がWordPress製——シェアが圧倒的なため、攻撃の手口やツールが最も多く出回っている
- 本体・プラグイン・テーマの弱点（脆弱性）が日々見つかる——見つかるたびに修正版が配布されるが、更新しなければ弱点は残ったまま
- 中小企業のサイトは「作って放置」が多い——攻撃者はプログラムで「古いバージョンのまま放置されたサイト」を自動的に探し出す
つまり、狙われるのは「大企業の有名サイト」ではなく、更新が止まった普通の会社のサイトです。「うちみたいな小さな会社を狙う人はいない」という感覚は、相手が人間ではなく自動プログラムである時点で成り立ちません。
放置したWordPressで実際に起きること
脅すのが目的ではないので、起きることを具体的に並べます。
1. サイトの改ざん
気づかないうちに、海外の通販サイトへのリンクやスパムページが大量に埋め込まれます。見た目は普段どおりのまま、検索結果にだけ怪しいページが出ることもあり、発覚が数ヶ月遅れるケースが珍しくありません。
2. 「このサイトは安全ではありません」警告
マルウェアの配布場所として使われると、Googleがサイトを危険と判定し、訪問者に警告画面を出します。こうなると検索結果からも事実上消え、お客様は誰も来られなくなります。
3. 問い合わせ情報・顧客データの流出
問い合わせフォームの送信内容や会員情報がデータベースごと抜かれる被害です。取引先の情報が含まれていれば、自社だけの問題では済みません。
4. 踏み台にされて加害者側になる
乗っ取られたサイトはスパムメールの送信元や、他サイトへの攻撃の中継点として使われます。ドメインやサーバーがブラックリストに載ると、会社のメールまで届かなくなる実害が出ます。
5. 復旧費用は「作り直し」級
改ざんされたWordPressの調査・駆除・復旧を専門業者に頼むと、数十万円かかるケースもあります。バックアップがなければ、実質サイトの作り直しです。
まず自社サイトの危険度をチェック【5項目】
対策の前に、現在地の確認です。以下に1つでも当てはまれば要注意です。
- WordPress本体のバージョンを1年以上上げていない（または分からない）
- プラグインの更新通知がたまったままになっている
- ログインユーザー名が「admin」のまま
- バックアップを取っていない（または取り方が分からない）
- サイトの保守が誰の仕事か決まっていない
「そもそもログイン方法が分からない」という会社も実際に多いです。その場合、更新は確実に止まっています。
WordPressのセキュリティ対策7つ
1. 本体・プラグイン・テーマを常に更新する【最重要】
WordPressの攻撃被害の大半は、既に修正版が出ている「既知の弱点」を突かれたものです。つまり更新さえしていれば防げた被害が大半。月1回、更新日を決めて全部の更新を当てるだけで、リスクは大きく下がります。
2. 使っていないプラグイン・テーマを削除する
停止中のプラグインも攻撃の入口になります。プラグインは「便利な機能」であると同時に「他人が書いたプログラムを自社サイトに同居させること」です。数を減らすほど安全になります。
3. ユーザー名「admin」をやめ、二段階認証を入れる
攻撃プログラムはまず「admin」+パスワード総当たりを試します。管理者名を変え、パスワードを長くし、二段階認証を設定するだけで、この種の攻撃はほぼ無力化できます。
4. ログイン画面を保護する
ログインURLの変更や画像認証の追加（SiteGuardなどの定番プラグイン）で、管理画面への総当たり攻撃を遮断します。海外IPからのログインを制限できるサーバーなら、それも有効です。
5. バックアップを自動化する
対策をしても、被害ゼロは保証できません。最後の砦は「昨日の状態に戻せること」です。サーバー側の自動バックアップ機能か、バックアッププラグインで自動・定期・別の場所への保存を設定してください。
6. 常時HTTPS（SSL）にする
通信の暗号化は今や前提条件です。未対応だとブラウザに「保護されていない通信」と表示され、セキュリティ以前に信頼を失います。
7. 保守を「誰の仕事」か決める
技術ではなく体制の話ですが、実はこれが一番の分かれ目です。担当者を決めて月1回の更新日を設けるか、制作会社・保守業者に月額で任せるか。「誰の仕事でもない」が放置サイトを生む唯一にして最大の原因です。
それでも不安が消えないのは「構造」の問題です
7つの対策をすれば、リスクは大幅に下がります。ただ、正直にお伝えすると、WordPressである限り「守り続ける仕事」は永遠になくなりません。
理由は構造にあります。WordPressは訪問のたびにプログラムが動き、データベースにアクセスする「動的」な仕組みです。管理画面という入口があり、プラグインという他人のプログラムを積み重ねて動いている。攻撃される入口が、構造として存在するわけです。
会社の紹介・サービス案内・実績・問い合わせといった一般的な企業サイトに、この構造は必ずしも必要ありません。
根本解決の選択肢：脱WordPress（静的サイト化）
そこで近年増えているのが、脱WordPress——管理画面もデータベースも持たない「静的サイト」への移行です。
| WordPress | 静的サイト | |
|---|---|---|
| 仕組み | アクセスのたびにプログラムが動く | 完成したページをそのまま表示 |
| 攻撃の入口 | 管理画面・プラグイン・DB | ほぼ存在しない |
| 更新作業 | 本体・プラグインを永続的に更新 | セキュリティ更新は原則不要 |
| 表示速度 | プラグイン次第で重くなる | 構造的に速い |
| 向くサイト | 会員制・複雑なブログ運用 | 企業サイト・店舗サイト全般 |
実は当社のこのサイトもWordPressではなく、Astro（アストロ）という静的サイトの仕組みで作っています。プラグインの更新に追われることがなく、表示が速いためGoogleの評価も安定しやすく、検索経由のクリック数は直近1ヶ月で8割増と、セキュリティと集客を両立できています。
公平のために書くと、社内で毎日ブログを書き替えたい場合や会員機能が必要な場合は、WordPressが向いていることもあります。判断基準は「更新し続ける体制を社内に作れるか」です。作れないなら、守る対象そのものを無くす静的化が合理的です。
SECURE SITE
WordPressの保守に疲れたら、「守らなくていいサイト」という選択肢
当社では、既存のWordPressサイトから静的サイトへの移行（リニューアル）を初期費用0円・月額制で承っています。移行後の軽微な更新・修正は回数を気にせず月額内でご依頼いただけて、開発者が直接対応するので放置されることもありません。
ホームページ制作・移行の詳細を見る → 無料で相談する →よくある質問
Q. WordPressはもう使わない方がいいのでしょうか？
A. そうとは言い切れません。頻繁な記事更新を社内で行うメディア運営や、会員機能が必要なサイトではWordPressが合理的です。問題なのは「更新体制がないのにWordPressを使い続けること」で、企業サイトとして情報を載せておくのが主目的なら、静的サイトの方がリスクも手間も小さくなります。
Q. セキュリティプラグインを入れておけば安全ですか？
A. 入口の防御としては有効ですが、それだけでは不十分です。プラグイン自体に弱点が見つかることもあり、本体・プラグインの更新、バックアップ、ログイン保護を組み合わせて初めて実用的な防御になります。「これを1つ入れれば安心」という銀の弾丸はありません。
Q. 何年も放置していますが、今のところ被害はないようです。大丈夫でしょうか？
A. 「被害に気づいていない」可能性を含めて確認をおすすめします。改ざんは見た目を変えずに行われることが多く、Google Search Consoleのセキュリティ通知や、身に覚えのないページが検索結果に出ていないかの確認が第一歩です。無事だったとしても、それは運が良かった状態が続いているだけ、というのが正直なところです。
Q. ハッキングされたかどうかは、どうすれば分かりますか？
A. 分かりやすい兆候は、①検索結果に身に覚えのないページや文言が出る、②サイトを開くと別サイトに飛ばされる、③Googleから「ハッキングされたコンテンツ」の通知が来る、④管理画面に見知らぬユーザーがいる、の4つです。1つでも当てはまれば、被害前提で専門家に相談してください。
Q. WordPressから静的サイトへの移行費用はどのくらいですか？
A. 当社の場合、初期費用0円・月額1,650円〜（税別・サーバー代とドメイン代は別途）で、現在のサイトの内容やドメインを引き継いだ移行に対応しています。ページ数や機能に応じて変わりますが、盛り込んでも月1万円前後が上限の目安です。移行後の軽微な更新は、回数を気にせず月額内でご依頼いただけます。
まとめ：守り続けるか、守らなくていい構造にするか
- WordPressが狙われるのはシェアの大きさ×放置されやすさ。狙われるのは有名サイトではなく「更新が止まった普通のサイト」
- 放置の先にあるのは改ざん・検索からの排除・情報流出・踏み台化。復旧は作り直し級の出費
- 対策7つの核心は「更新し続ける体制」と「戻せるバックアップ」
- 体制を作れないなら、脱WordPress（静的サイト化）で守る対象自体を無くすのが根本解決
まずは自社サイトのWordPressバージョンとプラグインの更新状況を確認してみてください。「ログイン方法が分からない」状態だったら、それが一番のサインです。ホームページの移行・作り直しの相談はいつでもどうぞ。
