「自社のWebサイトが突然知らない英語のページに変わっていた」
「検索結果からサイトを開くと、怪しい詐欺サイトに飛ばされる」
こうしたウェブサイトの「改ざん」被害が後を絶ちません。ウェブサイトの改ざんは、見た目が崩れるだけでなく、訪問者(ユーザー)に被害を与え、積み上げてきた企業の信用を試用期間なしで奪い去ってしまう、復旧が遅れるとSEO面でも甚大な被害が発生するといった、深刻な問題です。
本記事では、Webサイトが改ざんされる原因とリスク、そして今日から実行できる5つの防犯対策を分かりやすく解説します。
Webサイトが改ざんされるとどうなるの？
Webサイトが攻撃者の手によって書き換えられると、以下のような悪影響が発生します。
- 訪問者が悪質サイトへ強制リダイレクトされる
- アクセスしたユーザーが自動的にウイルス感染サイトやフィッシング詐欺サイトへ転送され、二次被害を引き起こします。
- 検索エンジン（Google等）から警告・除外される
- セキュリティリスクがあると判定されると、検索結果に「このサイトは第三者によって改ざんされている可能性があります」と表示され、アクセス数が激減します。
- 一度判定されると、元の状態に戻るまでかなりの日数が必要になります。
- 企業の社会的信用が失墜する
- 自社サイトが攻撃の踏み台（加害者の拠点）として利用された場合、顧客からの信頼を失うだけでなく、被害を受けた第三者からの損害賠償に発展するおそれがあります。
サイトを乗っ取られるの主な原因３選！
攻撃者は個人のサイトを狙っているのではなく、セキュリティが甘いサイトをプログラムで自動的に探し出して攻撃します。主な原因は以下の3つです。
- システムやプラグインの更新放置
- WordPress本体やプラグイン、テーマを古いバージョンのまま運用していると、公表されている「システムの抜け穴（脆弱性）」を突かれます。
- 推測しやすいパスワードの使用
- 「admin1234」のような単純な文字列や、他サービスと同じパスワードを使い回していると、総当たり攻撃（ブルートフォース攻撃）で突破されます。
- 安全性の低い端末・通信環境での作業
- ウイルスに感染したパソコンや、暗号化されていないFree Wi-Fiから管理画面にログインすることで、ログイン情報が盗み取られるケースがあります。
今すぐできる！Webサイトの防犯対策5選
改ざん被害を防ぐために、今すぐ取り組むべき基本対策をまとめました。
対策1：システム・プラグインを常に最新版にする
WordPress本体、プラグイン、テーマは定期的にアップデートし、脆弱性を塞ぎます。使っていないプラグインは無効化するだけでなく削除してください。
対策2：パスワードの強化と使い回し禁止
英大文字・小文字・数字・記号を交ぜた16文字以上の複雑なパスワードを設定します。使い回しは厳禁です。
パスワードマネージャーを利用してランダムな文字列を保存することが推奨されます。
対策3：2段階認証（2FA）の導入
ログイン時にスマホアプリやメールに届くワンタイムパスワードを必須にすることで、パスワード流出時の不正ログインを防ぎます。プラグインを利用して簡単に導入可能です。バックアップコードはGoogleDrive等で保管しておきましょう。
対策4：管理画面URLの変更とアクセス制限
標準のログインURL（wp-login.php など）を変更し、IPアドレス制限を設けることで攻撃者の侵入経路を遮断します。
対策5：WAFの設定とセキュリティプラグインの活用
レンタルサーバー（XServerやお名前.comなど）の管理画面から「WAF（Webアプリケーションファイアウォール）」を有効化し、攻撃通信を水際でブロックします。
万が一に備える「バックアップ」と保守管理の重要性
どれほど対策を行っていても、未知の脆弱性を突かれる可能性はゼロではありません。万が一の事態に備え、正常な状態のバックアップを自動で保存する仕組みを整えておくことが不可欠です。
しかし、日々の業務と並行してセキュリティ状態を監視し、迅速にアップデートやバックアップを行うのは容易ではありません。自社での管理に不安がある場合は、専門家によるWeb保守管理サービスを活用するのも有効な選択肢です。
まとめ
Webサイトの改ざんは、発覚してから対処するのでは遅く、事前の防犯対策こそが最も低コストで安全なアプローチです。
「自社サイトのセキュリティ状態を点検してほしい」
「万全な保守管理体制を整えたい」
とお考えの方は、ぜひ当店（Rhapsodie）までお気軽にご相談ください。