WordPressは手軽に導入できるサイト（ブログ）管理システムです。更新機能のあるWebサイトを簡単に作ることができます。ただ、その手軽さの一方で、公開後に何もしないで放置しておくと、サイバー攻撃にあうリスクが高まります。
今回は、WordPressサイトが攻撃を受けると実際にどういった被害が出るのかを紹介していきます。WordPressサイトは適切に管理していれば、基本的には攻撃によって実害が出るリスクは少ないです。
ただし、作ったまま放置しているとリスクが増えるので、心当たりがある方はぜひ日ごろの運用を見直していただくと安心できるかなと思います。
WordPressサイトがサイバー攻撃を受けた場合の被害
WordPressが攻撃を受けると、「勝手にログインされる」「サイトを書き換えられる」「サイトを他者への攻撃に利用される」「情報を盗まれる」など、さまざまな被害につながる可能性があります。
具体的にどのようなことが起こるのか見ていきましょう。
第三者に不正にログインされる
ログイン画面は実は簡単に推測可能です。自分のWordPressサイトのトップページのURLの最後に/wp-admin/と打てばログイン画面が表示されます。
推測しやすいユーザー名や弱いパスワードを設定していると、第三者にログインされるリスクが高まります。
管理者権限を持つアカウントでログインされてしまうと、サイト全体を自由に操作される可能性があります。記事の編集はもちろんのこと、プラグインやテーマのアップロードができてしまうので、悪意のあるコードを含んだファイルをサーバーに設置するといったことも、管理者権限のアカウントがあればできてしまいます。
サイトが書き換えられる
WordPressサイトが攻撃されると、Webサイトの内容を勝手に書き換えられることがあります。
例えば、
- 身に覚えのない文章や画像が表示される
- 不審な広告やリンクが追加される
- アクセスすると別のWebサイトへ転送される
- 本来あったページが削除される
といった被害です。
企業サイトの場合、Webサイトの改ざんは単に「ホームページが壊れた」という問題だけではありません。訪問したユーザーに不審なページが表示されれば、企業そのものへの信用にも影響する可能性があります。
自分のサイトが、他者への攻撃の踏み台にされる
WordPressへの攻撃で怖いのは、自分のWebサイトが被害を受けることだけではありません。
攻撃者によってWebサイトを乗っ取られ、他の人を攻撃するための「踏み台」として利用されることがあります。
例えば、正規のWebサイトの中に偽のログインページを設置し、ユーザーのIDやパスワードを盗み取る「フィッシング」用のサイトとして利用されるケースがあります。
ほかにも、マルウェアを配布するためのページを設置されたり、大量のスパムメールを送信するためにサーバーを利用されたりする可能性があります。
厄介なのは、通常のページはこれまで通り表示されているケースがあることです。サイト運営者から見ると問題なく動いているため、悪用されていることに気づくまで時間がかかる場合があります。
自分のWebサイトを守ることは、サイトを訪れるユーザーやインターネット上の他の利用者を守ることにもつながります。
情報を盗まれる
WordPressでは、Webサイトの運営に必要なさまざまな情報をデータベースに保存しています。サイトの用途によっては、ユーザー名やメールアドレス、会員情報、注文情報などが保存されていることもあります。
こうした情報が攻撃者によって盗まれる可能性があります。
特に個人情報を扱っているWebサイトでは、情報漏洩が発生するとユーザーへの影響だけでなく、企業としての信用問題にもつながります。
「サイトが表示できるかどうか」だけではなく、「サイトの中に保存されている情報を守る」という視点も必要です。
気づかないまま侵入され続ける
WordPressが攻撃されたからといって、必ずしもすぐにWebサイトの見た目が変わるわけではありません。
むしろ攻撃者にとっては、サイト運営者に気づかれないほうが都合がよい場合があります。
そこで、侵入したWordPressに「バックドア」と呼ばれる秘密の入口を設置することがあります。
バックドアが残っていると、表面的な改ざん箇所を修正したりパスワードを変更したりしても、攻撃者が再び侵入できる可能性があります。
ほかにも、不正な管理者ユーザーを追加したり、WordPressのファイルに悪意のあるコードを紛れ込ませたり、正規のプラグインに似た名前のファイルを設置したりするケースがあります。
つまり、
「Webサイトがいつも通り表示されているから安全」
とは限りません。
不正なファイルが追加されていないか、身に覚えのない管理者ユーザーが存在しないか、脆弱性のあるプラグインが使用されていないかなどを定期的に確認することが重要です。
被害にあわないためにできること
ログイン画面から突破されないように強くする
悪意あるユーザーに管理者権限で突破されると、さまざまな被害に派生します。まずは、ログイン画面を突破されないように対策することが重要です。
対策の順番としては、以下のようなイメージとなります。
- ユーザーの整理
- パスワードの強化
- 多層で防御
ユーザーの整理
まずは、不要なユーザーが存在しないか確認しましょう。管理者権限のユーザーが多いとそれだけリスクが増えます。不要なユーザーがいたら削除したり、管理者権限である必要がなければ、権限を編集者や投稿者に変更することでリスクは軽減されます。
パスワードの強化
パスワードが弱いとログイン画面を突破されるリスクは増えます。人間が覚えやすい簡単なパスワードになっていないでしょうか？
パスワードの考え方については以下の記事でまとめているので、参考にして設定してみてください。
WordPressの管理画面のパスワードはどう決める？突破されにくいパスワードの決め方
多層で防御
パスワードだけだと、そこを突破されたら終わりです。多層というのは何重にも防御するということになります。例えば、2要素認証を取り入れるとユーザー名とパスワードが仮にバレていたとしても、デバイス（例えば、自分のスマートフォン）での認証が発生するのでそのデバイスを持っていない限りはログインできません。
2要素認証を導入できる有名なプラグインとして「Two-Factor」があります。
Two-Factor – WordPress プラグイン | WordPress.org 日本語
このように、仮にパスワードが漏れた場合でも、多層で防御していれば突破されるリスクは軽減されます。
WordPressを更新する
WordPressサイトは、定期的に（頻繁に）更新が発生します。代表的なところだと、WordPress本体（コアとも呼ばれます）、プラグイン、テーマ、そしてWordPressを動かしているPHPなどです。
更新しなくても動くから問題ない、と思うかもしれませんが、放置しておくと攻撃されるリスクが増えていきます。なぜなら、古いプラグインやテーマには「攻撃の穴」が見つかることがあるからですね。
このようなソフトウェア上の「攻撃に利用できる弱点」のことを、セキュリティの世界では「脆弱性（ぜいじゃくせい）」と呼びます。
更新するということは、攻撃の穴を塞ぐ（ふさぐ）という側面があることを認識しておいてもらえたらと思います。つまり、更新しないということは、攻撃の穴を残し続けるということになるということです。
更新してサイトが壊れた経験がある方にとって、更新することに抵抗があるかもしれませんが、サイバー攻撃にあうリスクと天秤にかけた時に、個人的には放置する選択肢はないと思っています。
安全に更新する方法については以下の記事にまとめておりますので、ぜひ参考にしてください。
放置したWordPressサイトを壊さずに最新にする更新手順
異常がないか定期的に確認する
WordPressサイトは、見た目に問題がないからといって必ずしも安全とは限りません。先ほど紹介したように、不正なファイルを設置されたり、身に覚えのないユーザーを追加されたりしても、普段通りサイトが表示されているケースがあります。
そのため、サイトに異常がないか定期的に確認することも重要です。
例えば、以下のようなところを確認します。
- 身に覚えのないユーザーが追加されていないか
- 不審なファイルが設置されていないか
- ファイルが勝手に書き換えられていないか
- 不審なアクセスやログインが発生していないか
- 利用しているWordPressやプラグインに脆弱性が見つかっていないか
すべてを目視で確認するのは大変なので、セキュリティプラグインなどを活用してチェックする方法もあります。「問題が起きてから確認する」のではなく、定期的に確認して異常がない状態を維持していくことが大切です。
異常を検知できる代表的なプラグインとしては「Wordfence（ワードフェンス）」があります。
万が一に備える
ここまで紹介したような対策を行うことで、WordPressサイトが攻撃によって被害を受けるリスクは減らすことができます。
ただし、どれだけ対策していてもリスクを完全にゼロにすることはできません。そのため、万が一問題が起きた場合に備えて、元の状態に戻せるようにしておくことも重要です。
代表的な対策が「バックアップ」です。
WordPressは大きく分けると、画像やテーマ、プラグインなどが保存されている「ファイル」と、記事や設定などが保存されている「データベース」で構成されています。
これらを定期的にバックアップしておけば、サイトが書き換えられたり、何らかの原因でデータが失われたりした場合でも、正常だった時点の状態に戻せる可能性があります。
バックアップは「何かあったときの保険」のようなものです。普段は使う機会がないかもしれませんが、問題が起きてからバックアップを取ることはできません。何も起きていない正常な状態のうちから、定期的にバックアップを取っておきましょう。
WordPressサイトのバックアップの取得については、以下の記事にまとめておりますので、ご参考ください。
万が一に備えてWordPressサイトのバックアップを取得しよう
WordPressは公開してからの管理も大切
WordPressは適切に管理していれば、過度に怖がる必要はありません。ただし、Webサイトを作ったまま何年も放置していると、古いWordPressやプラグインに脆弱性が見つかるなど、少しずつリスクが高まっていきます。
まずは、不要なユーザーが残っていないか、パスワードは十分に強いか、WordPressやプラグインの更新が溜まっていないかなど、今のサイトの状態を確認してみてください。
そして、定期的な更新やチェック、バックアップを続けながら、安全な状態を維持していくことが大切です。
WordPressは「作って終わり」ではなく、公開してからも適切に管理しながら運用していきましょう。
