こんにちは、AI事業部の森山です。
「WordPressってハッキングされやすいって聞いたけど、うちのクライアントのサイトは大丈夫かな……」
Webサイト制作に関わっていると、一度はそんな不安を感じたことがあるのではないでしょうか。
デザイナーの仕事はデザインを作ることで、セキュリティはエンジニアやサーバー管理者の領域だから関係ない。そう考えている方もいるかもしれません。
もちろん、サーバーの細かい設定や専門的なセキュリティ対策まで、デザイナーがすべて担当する必要はありません。
しかしAIの発展によって、エンジニアでなくてもプラグインや簡単なコードを作れる時代になってきました。便利になった一方で、Webサイトの仕組みをよく理解しないまま機能を追加してしまうリスクも高まっています。
だからこそ、Webに関わる以上デザイナーであっても、最低限のセキュリティ知識は知っておいた方が安心です。
特にDTP業界からWeb業界に転職したデザイナーにとって、Webサイトのセキュリティは少し未知の世界かもしれません。
印刷したフライヤーであれば、基本的には手に取った人だけが見るものです。しかしWebサイトは、通信環境さえあれば国内だけでなく世界中からアクセスができます。
URLを教えていない人でも、検索やリンク、攻撃用の自動プログラムなどを通じてサイトにたどり着くことがあります。そのため、アクセスしてくる人が全員信頼できる人とは限らないという前提で考える必要があります。
今回は、WordPressがなぜ狙われやすいと言われるのか、そしてデザイナーが最低限知っておきたいセキュリティ対策について解説していきたいと思います。
なぜWordPressは狙われやすいのか？
WordPressは、世界中で非常に多く使われているCMS（コンテンツ管理システム）です。全Webサイトの半数近い割合でWordPressが使われています。
利用者が多いということは、それだけ情報も多く公開されていて、テーマやプラグインも豊富で、制作側にとっては大きなメリットです。
その一方で、攻撃者から見ると「狙いやすい対象」でもあります。
理由の1つ目は、利用者が多いことです。
多くのWebサイトで使われているプラグインがあれば、攻撃者はそこを集中的に調べます。1つの弱点を見つけたときに、同じような環境のサイトへ攻撃を広げやすいからです。
理由の2つ目は、WordPressが無料で公開されているオープンソースのCMSであることです。
WordPress本体の仕組みが公開されているため、誰でも中身を確認できます。これは、世界中の開発者が使えるという大きな強みです。
しかし同時に、攻撃者も同じ情報を見ることができます。
WordPressがどういうファイル構成で、どのようなプログラムが動いているのかを調べることができるため、古いバージョンのWordPressや、更新されていないプラグインに弱点があると、そこを狙われる可能性があります。
理由の3つ目は、AIによって攻撃のスピードや精度が上がっていることです。
近年は、AIを活用した攻撃や自動化された攻撃が増えてきています。以前よりも精巧な攻撃が、規模の大きいサイトだけでなく、小規模なサイトにも向けられる可能性があります。
ここであわせて知っておきたいのが、「サプライチェーン攻撃」です。
簡単にいうと、公式サイトや正規の配布元から入手したものでも、100％安全とは限らないということです。
サプライチェーン攻撃とは、利用者のWebサイトを直接攻撃するのではなく、そのサイトが信頼して使っているソフトウェアや配布経路を狙う攻撃です。
近年では、WordPress向けの有名なプラグインで、公式サイトから配布されていた一部のパッケージに不正なコードが混入した事例がありました。
この事例で注目したいのは、「怪しいサイトからダウンロードしたから危険だった」という話ではないことです。
正規の配布元から入手したプラグインであっても、配布の途中で不正なコードが混入すれば、利用者は気づかないまま危険なファイルをサイトに入れてしまう可能性があります。
WordPressを安全に使うために意識したいこと
WordPressのセキュリティ対策では、「公式サイトからダウンロードしているから大丈夫」で終わらせず、日ごろの確認と備えをしておくことが大切です。
-
更新情報を確認する
WordPress本体やプラグインは、古いバージョンのまま使い続けるほど弱点を狙われやすくなります。 -
使っていないプラグインを削除する
利用していないプラグインも、残したままだと攻撃の入り口になる可能性があります。 -
万が一に備えてバックアップを取る
トラブルが起きたときに元の状態へ戻せるよう、定期的にバックアップを残しておくことが重要です。
WordPress自体が危険というよりも、利用者が多く、仕組みが知られているため、攻撃対象になりやすいという特徴があります。小規模なサイトでも、「最低限どう守るか」を知っておくことが、これからのWebデザイナーにとって大切な視点です。
WordPressが狙われる理由を「本屋さん」で理解しよう
ここで、いつものように本屋さんに例えて考えてみましょう。
あなたが管理しているWebサイトを「本屋さん」だとします。
毎日たくさんのお客さんが来て、本を手に取り、購入していく。普段はとても平和なお店です。
しかし夜になると、合鍵を試しながら入口をこじ開けようとする不審者が現れることがあります。これが、いわゆるハッキングや不正アクセスです。
WordPressが狙われやすい状態は、「同じような間取りの本屋さんが世界中にたくさんある状態」に近いです。
お店の基本的な入口、バックヤード、棚の配置がある程度知られているため、攻撃者は「ここを調べれば弱点が見つかるかもしれない」と考えます。
さらに、鍵の構造もある程度知られています。
もちろん、すべてのお店が簡単に侵入されるわけではありません。きちんと鍵を交換し、ガードスタッフを置き、防犯カメラを設置していれば、侵入のハードルは上がります。
一方で、古い鍵を使い続けていたり、入口に誰も立っていなかったり、万が一荒らされたときの予備の本がなかったりすると、被害を受けやすくなります。
WordPressのセキュリティ対策も、この状態と同じです。
- 本体やプラグインを更新することは、本屋で例えると古い鍵を新しい鍵に交換すること。
- ログイン試行回数を制限することは、何度も合鍵を試す不審者を入口で止めること。
- バックアップを取ることは、万が一お店が荒らされても、棚の配置や在庫リストをもとに元の状態へ戻せるようにしておくことです。
このように考えると、セキュリティ対策は特別な専門作業というよりも、お店を安全に運営するための基本的な防犯対策に近いものだとわかります。
デザイナーが今すぐ意識できるセキュリティ対策5選
それでも「セキュリティ対策って難しそう……」と思うかもしれません。
しかし、これから紹介する5つを知っているだけでも、クライアントとの会話の質は変わってきます。
もちろん、攻撃側も常に進化しているため、この5つだけやっていれば絶対に安全と言い切ることはできません。
ただ、防犯対策をしている本屋さんと、何も対策をしていない本屋さんが並んでいたら、泥棒は何もしていない方を先に狙う可能性が高いですよね。
Webサイトも同じです。まずは基本的な対策だけでも押さえておくことが大切です。
① WordPress本体・テーマ・プラグインを常に最新版に保つ
古いバージョンには、既知の脆弱性が残っている場合があります。
脆弱性とは、攻撃者に利用されやすい弱点のことです。
WordPressの管理画面から「更新」を定期的に確認し、WordPress本体・テーマ・プラグインをできるだけ最新版に保ちましょう。
また、使っていないプラグインは「停止」ではなく「削除」するのがベターです。停止しているだけでも、ファイルが残っている限りリスクになる場合があります。
ただし、プラグインを削除すると、そのプラグインが作成したデータも消えることがあります。必要なデータがある場合は、事前にバックアップを取ってから削除すると安心です。
② 管理者ユーザー名を「admin」にしない
WordPressでは、昔から「admin」という管理者ユーザー名がよく使われてきました。しかし、攻撃者もこの名前を知っています。
ログインに必要な情報は、基本的に「ユーザー名」と「パスワード」です。もしユーザー名が「admin」だと最初から知られていれば、攻撃者はパスワードだけを当てればよい状態になります。
インストール時やユーザー作成時には、「admin」以外の推測されにくいユーザー名を設定しましょう。
③ ログイン試行回数を制限する
ブルートフォース攻撃という攻撃方法があり、それは攻撃者が何度もログインを試してくる攻撃です。
この攻撃の対策には、一定回数ログインに失敗したら、一時的にアクセスを制限する仕組みを入れておくと効果的です。
本屋さんでいうと、同じ人が何度も合鍵を試していたら、ガードスタッフが「この人は怪しい」と判断して入口から離れてもらうようなものです。
WordPressでは、ログイン試行回数を制限できるプラグインや、サーバー側のセキュリティ機能を使うことで対策することができます。
④ SSL（HTTPS）を必ず設定する
URLが「http://」から始まるサイトは、通信の安全性に不安があります。
一方で「https://」から始まるサイトは、SSLによって通信が暗号化されています。
本屋さんで例えると、お客さんが購入した本や個人情報を透明な袋で渡しているのがHTTP、封緘された安全な袋に入れて渡しているのがHTTPSです。
お問い合わせフォームやログイン画面があるサイトでは、個人情報を扱うことが多いので特に重要です。
現在では、SSL対応はWebサイト運用の最低限のマナーに近いものになっています。多くのレンタルサーバーでは無料SSLを設定できるため、公開前に必ず確認しておきましょう。
⑤ 定期的にバックアップを取る
どれだけ対策をしていても、リスクをゼロにすることはできません。
だからこそ、万が一サイトが改ざんされたり、更新作業で表示が崩れたりしたときに、元の状態へ戻せるようにしておくことが大切です。
それがバックアップです。
本屋さんでいうと、万が一棚が壊れて本が散らばってしまっても、別の倉庫に同じ本が保管されていれば、元の状態に戻せます。
WordPressでは、バックアップ用のプラグインやサーバー側の自動バックアップ機能を使う方法があります。更新頻度に合わせて、毎日・週1回・月1回など、バックアップの間隔を決めておくと良いと思います。
サイバー攻撃対策だけでなく、Wordpressのアップデート、プラグインの更新やテーマの編集をする前にも、事前にバックアップを取っておくと安心です。バックアップを取るのは常に習慣化させておくと安心ですね。
↑ こちらのコラムではSSLを有効する方法など、ConoHa WINGの画面を使って解説しています。
セキュリティが標準搭載された環境を選ぶという考え方
ここまで紹介した対策は、どれも基本的なものです。
ただ、クライアントのサイトを複数管理していたり、更新頻度が高かったりすると、一つひとつ設定や確認を続けるのが大変に感じることもあると思います。
その場合は、サーバー側でセキュリティ対策が標準搭載されている環境を選ぶという考え方もあります。
例えば弊社の「KUSANAGI」では、WordPressを高速かつ安全に動かすことに特化したマネージドサービスです。
セキュリティ設定や運用管理の手間を減らしながら、WordPressサイトを安定して運用しやすくするのも選択肢の一つです。
まとめ：セキュリティを知ることも、デザイナーの提案力になる
今回は、WordPressのセキュリティについて解説しました。
WordPressが狙われやすいと言われる理由は、利用者が多く、仕組みが広く知られているからです。
だからといって、WordPressが危険なCMSというわけではありません。大切なのは、基本的な対策をせずに放置しないことです。
「セキュリティ＝エンジニアの仕事」と切り離すのではなく、デザイナーも最低限の知識を持っておくことで、クライアントへの提案力も上がってきます。
だからといって難しい設定をすべて覚える必要はありません。
「何も対策をしていない」というのが良くない状況なので、まずは今回ご紹介した5つの対策を、チェックリストとして持っておくだけでもはじめのうちは良いと思います。
- WordPress本体・テーマ・プラグインを最新版に保つ
- 管理者ユーザー名を「admin」にしない
- ログイン試行回数を制限する
- SSL（HTTPS）を設定する
- 定期的にバックアップを取る
Webサイトは、作って終わりではありません。公開された後も、多くの人が訪れる場所です。
だからこそ、安心して運用できる状態まで考えることも、これからのデザイナーに求められる視点だと思います。
AIや技術者に任せられる部分は任せ、デザイナーはクライアントの不安を取り除き、安心して運用できるサイトを提案する判断に集中していきましょう。
ここまで読んでいただきありがとうございます。
今回のコラムはここまで、また次回のコラムでお会いしましょう。
WordPressについてもっと詳しく知りたい方は、こちらのコラムも合わせてご覧ください。
執筆者/森山砂葵（GMOプライム・ストラテジー株式会社）
「プライム・ストラテジー株式会社」AIビジネス部所属
医療事務、Webディレクターを経て、現在はPythonを勉強中。趣味は画像生成や旅行を兼ねた聖地巡礼です。
