うちみたいな小さな会社のサイトでも、乗っ取られることってあるんですか？
会社の大きさは関係ないんですよ。古いままのサイトを、機械が片っぱしから探して回ってるんです。
サイトの改ざんというと、名の知れた会社が狙われる話に聞こえます。けれど実際には、知られている弱点が残ったサイトを自動で探し、見つけたところから入り込む、という手口がよくあります。小さな会社のサイトも、その網にかかります。
入られると、見た目は変わらないまま、偽の通販サイトや詐欺のページへ案内する仕掛けが埋め込まれることもあります。IPA（情報処理推進機構）の相談窓口にも、企業のサイトが偽の通販サイトへの踏み台にされたという相談が寄せられています。
守りの基本は、更新・ログイン・バックアップの3つです。この記事では、入られる入口、それぞれの守り方と受け持つ人の決め方、おかしいと気づいたときの最初の動きを扱います。
この記事の要点
- よくある入口は、古いままの部品と弱いログイン
- 更新は担当と曜日を決め、使わない部品は消す
- バックアップはサーバーの外にも残し、戻せるか試す
入られる入口は、だいたい決まっている
| 入口 | 何が起きるか | 守り方 |
|---|---|---|
| 古い本体・プラグイン・テーマ | 知られている弱点を突かれる | 更新する。使わないものは消す |
| 推測されやすいID・パスワード | 総当たりでログインされる | 長いパスワードと二段階認証 |
| 使われていない管理者アカウント | 辞めた人や前の業者の権限から入られる | 定期的に棚卸しする |
| パスワードの使い回し | ほかで漏れたものを試される | サービスごとに変える |
| 古いサーバーの環境 | 更新についていけず、弱点が残る | サーバーのプランを見直す |
WordPressは使う人が多いぶん、狙う側にも手口がよく知られています。本体よりも、あとから足したプラグインやテーマに弱点が見つかることも少なくありません。入れた部品の数だけ、見張る場所が増えると考えます。
更新は「誰が・いつ」を決めておく
WordPressの本体の小さな更新は自動で入りますが、プラグインやテーマは、多くの場合だれかが更新を確かめて押す必要があります。この仕組みは、こちらにまとめています。
あわせて読みたいWordPressは必要か。ホームページの仕組み（CMS）を選ぶ4つの判断軸「担当が決まっていない」と、更新はまず止まります。手順を決めて、担当の予定に入れてしまいます。
- 01担当を決める1人決め、休むときの代わりも決めておく
- 02曜日を決める週に1回、管理画面で更新があるかを見る
- 03先にバックアップを取る更新の直前に取る
- 041つずつ更新して確かめるトップ・問い合わせフォーム・よく見られるページの表示を見る
- 05使わないものは消す停止しただけのプラグインやテーマも、削除する
例えば、地域の学習塾のサイトで、数年前に入れた予約のプラグインが更新されないまま残っている。表示が崩れるのが怖くて誰も触れない。こういう状態が、いちばん入られやすい形です。
ログインを固める
管理画面に入るための鍵を、推測しにくく、配りすぎない形にします。
- IDに「admin」や社名をそのまま使わない
- パスワードは長くし、ほかのサービスと使い回さない。パスワード管理のアプリを使うと、覚えなくて済む
- 二段階認証を入れる。WordPressの本体の初期状態には入っていないので、プラグインやサーバーの機能で足す
- 管理者の権限は、必要な人だけに付ける。記事を書くだけの人は「編集者」や「投稿者」の権限にする
- 辞めた人、契約が終わった制作会社のアカウントは消す
- サーバーやドメインの管理画面、ファイルをやり取りするFTPのログインも同じように扱う
人ごとに権限を付けて、パスワードを配らない考え方は、SNSのアカウントでも同じです。
あわせて読みたいSNS乗っ取り対策。会社のアカウントを守る二段階認証・権限・退職時の手順
IDが「admin」で、パスワードが社名と電話番号。それだけは、今日のうちに変えてください。
バックアップは、サーバーの外にも残す
改ざんされたとき、いちばん早く元に戻せるのは、入られる前のバックアップです。ただ、取り方を間違えると、いざというときに使えません。
| 決めること | 考え方 |
|---|---|
| 何を | ファイルとデータベースの両方。WordPressは記事や設定がデータベースに入っている |
| どのくらいの頻度で | 更新の頻度に合わせる。毎日お知らせを足すなら毎日、あまり変えないなら週1回など |
| どこに | サーバーの中だけでなく、別の保存先にも置く |
| 何世代前まで | 数世代残す。入られたのに気づくのが遅れると、直近のものはすでに汚れていることがある |
| 戻せるか | 年に1回は、試しに戻してみる |
レンタルサーバーの自動バックアップは心強い味方ですが、残す期間や戻し方はプランで違います。中身を一度確かめておきます。
バックアップを取ってたつもりが、同じサーバーの中だけ。サーバーごと止まって全部消えた……泣くに泣けません。
おかしいと気づいたら、最初にすること
見覚えのないページが検索結果に出る、ブラウザに警告が出る、お客さんから「変なページに飛ばされた」と言われる、知らない管理者が増えている。こうしたときは、入られた疑いがあります。
GoogleのSearch Consoleでは、「セキュリティの問題」のレポートに、Googleが見つけたハッキングなどの情報が表示されます。登録していないと知らせを受け取れないので、ふだんから登録しておきます。
- 01慌てて消さないおかしな画面や時刻を記録する
- 02連絡する制作会社とサーバー会社に、記録を添えて知らせる
- 03パスワードを変える安全な別の端末から、関係するログインをすべて変える
- 04塞いでから戻す入口を突き止めて塞ぎ、入られる前のバックアップから戻す
- 05知らせるSearch Consoleで審査をリクエストし、必要ならお客さんにも知らせる
相談先に迷ったら、IPAの「情報セキュリティ安心相談窓口」が、自社のサイトが改ざんされたときの対処の相談も受け付けています。
毎晩、自動で外にもバックアップが残ってる。それだけで、ぐっすり眠れるんですよ。
守りやすいサイトづくりを、ご一緒します
- 作り直しのご相談の中で、今のサイトの更新・ログイン・バックアップの状態もあわせて確かめる
- 公開後の更新を誰が受け持つかを、作る前に決めてから設計する
- 更新の手間が少ない仕組みの選び方から、サイト・LPの制作まで同じチームで
初回のご相談は無料で、オンライン60分でもお受けしています。「何から手をつければいいか分からない」段階で大丈夫です。相談の窓口からどうぞ。
管理画面に最後にログインしたのはいつか。まずはそこから、一緒に見てみましょう。
よくある質問
WordPressのセキュリティ対策プラグインは入れたほうがいいですか？
ログインの制限や二段階認証など、足りない機能を補う目的なら役に立ちます。ただ、それも更新が要る部品の1つです。入れたら終わりではなく、更新を続ける対象に加えます。
改ざんされたサイトは、自分で直せますか？
書き換えられたファイルを消すだけでは、入口が残っていて再び入られることがあります。原因を塞ぐところまで、制作会社やサーバー会社と一緒に進めるのが確実です。
SSL（https）にしていれば、改ざんは防げますか？
防げません。SSLは見る人とサーバーの間の通信を守るもので、サイトそのものへの侵入を防ぐものではありません。更新とログインの対策は別に要ります。
更新したらサイトの表示が崩れました。どうすればいいですか？
更新の直前に取ったバックアップから戻し、どの更新で崩れたかを確かめます。同じことを避けるため、更新はまとめて押さず、1つずつ表示を確かめながら進めます。
使っていない古いWordPressのサイトは、放置しても大丈夫ですか？
弱点の知られた部品が残り続け、入り込まれやすくなります。使わないサイトは、公開を止めるか閉じるかを決め、ドメインやサーバーの扱いもあわせて決めます。
