中小企業のホームページが狙われる理由
「うちのような小さな会社のサイトは狙われない」と考えがちですが、攻撃の多くは相手を選ばず、自動のプログラムで弱いサイトを片っ端から探しています。大企業かどうかではなく、「穴があるかどうか」で狙われます。
- 改ざん: ページに不正なリンクや偽の広告が埋め込まれ、訪問者が詐欺サイトに飛ばされる
- 乗っ取り: 管理画面に入られ、サイトが別の攻撃の踏み台にされる
- 情報漏洩: 問い合わせフォームに入力された氏名やメールアドレスが抜き取られる
- 検索からの除外: 改ざんを検索エンジンが検知すると「危険なサイト」と表示され、集客が止まる
IPA の「情報セキュリティ10大脅威 2026」でも、組織向けの 4 位に「システムの脆弱性を悪用した攻撃」が入っています。ホームページはその入口になりやすい場所です。
2026 年 7 月の WordPress の脆弱性（wp2shell）
2026 年 7 月 22 日、IPA は WordPress の脆弱性 2 件（CVE-2026-60137 と CVE-2026-63030）について注意喚起を出しました。2 件を組み合わせると、標準の構成でも管理者権限なしに遠隔でプログラムを実行される可能性があるというものです。実際に悪用された脆弱性として、米国 CISA の一覧にも載りました。
- 影響を受けるバージョン: 6.9.0〜6.9.4、7.0.0〜7.0.1（CVE-2026-60137 は 6.8.0〜6.8.5 も）
- 対策: 6.9.5 または 7.0.2 へ更新（6.8 系は 6.8.6）
- 注意点: 自動更新が無効だったり失敗していたりすることがあるため、管理画面で実際のバージョンを確認する
さらに 2026 年 10 月には、WordPress を動かしている PHP 本体にも重大な脆弱性（PHP2Shell）が見つかり、国の機関やレンタルサーバー会社までサービスを一時停止する事態になりました。この例が示すのは、「作って終わり」のサイトがいちばん危ないということです。更新を誰が・いつ確認するのかを、公開前に決めておく必要があります。
中小企業がまず押さえる 10 項目
- 1CMS・プラグイン・テーマを最新に保つ: 更新の担当者と確認の頻度（例: 月 1 回）を決める
- 2使っていないプラグインやテーマは削除する: 止めているだけでも、ファイルが残っていれば狙われることがある
- 3管理画面のパスワードを使い回さない: 長く推測されにくいものにし、可能なら 2 段階認証を入れる
- 4管理者アカウントを必要な人だけにする: 退職者や外注先のアカウントを残さない
- 5常時 SSL（https）にする: 入力内容が途中で盗み見られないようにする
- 6問い合わせフォームにスパム対策を入れる: 大量送信の制限や、入力内容の検証を行う
- 7フォームの入力内容をサイト上に溜め込まない: 必要以上の個人情報を保存しない
- 8バックアップを定期的に取り、戻せるか確かめる: 改ざんされたときに元に戻すため
- 9サーバーやドメインの契約者・ログイン情報を自社で把握する: 制作会社にしか分からない状態にしない
- 10おかしいと気づいたときの連絡先を決めておく: 制作会社・サーバー会社・社内の担当者
1〜4 は「入られないため」、5〜7 は「盗まれないため」、8〜10 は「入られても戻せるため」の対策です。全部を完璧にするより、まず 1・3・8 の 3 つを確実に回すのが効果的です。
WordPress を使わないという選択肢
WordPress は便利ですが、本体・プラグイン・テーマのどれかに脆弱性が見つかるたびに更新が必要です。更新を続ける体制を用意できない場合は、仕組み自体を見直すのも一つの方法です。
| 作り方 | 向いているケース | セキュリティ面の特徴 |
|---|---|---|
| WordPress（CMS） | 自社で頻繁に記事を更新したい | 更新し続ければ安全。放置すると最も狙われやすい |
| ホームページ作成サービス（Wix 等） | 自分で手軽に作りたい | 基盤の更新はサービス側が行う。アカウントの管理は自社の責任 |
| 静的なサイト（HTML を事前に生成） | 更新は年に数回で十分 | 動く部分が少なく、狙われる箇所そのものが少ない |
どれが正解かは、更新の頻度と、誰が運用するかで決まります。「更新のしやすさ」と「守りやすさ」は反対になりやすいので、両方を比べて選びましょう。
制作会社に頼むときに確認すること
- 公開後の更新（CMS やプラグイン）を誰が行うか。保守契約に含まれるか
- サーバー・ドメインの契約名義が自社になっているか
- 管理画面のアカウントを自社でも持てるか
- バックアップの頻度と、戻すときの手順・費用
- 改ざんなどが起きたときに、どこまで対応してもらえるか
IPA の「安全なウェブサイトの作り方」には、作る側が対策すべき項目がまとまっています。制作会社に「この資料の対策はどうしていますか」と聞くのも、相手の姿勢を知る方法の一つです。
よくあるご質問
- 小さな会社のホームページも本当に狙われますか？
- 狙われます。攻撃の多くは自動のプログラムで、規模に関係なく弱いサイトを探しています。特に、古いバージョンの CMS やプラグインを使ったままのサイトは見つかりやすくなります。
- SSL（https）にしていれば安全ですか？
- SSL は通信の途中で盗み見られるのを防ぐもので、サイト自体の改ざんや乗っ取りは防げません。ソフトウェアの更新や管理画面の守りと組み合わせて初めて効果があります。
- 改ざんされたかどうかはどう分かりますか？
- 見覚えのないページやリンクが増えている、検索結果に「このサイトはハッキングされている可能性があります」と出る、サーバー会社から連絡が来る、などで気づくことが多いです。定期的に自社サイトを確認し、Google Search Console に登録しておくと通知を受け取れます。
- セキュリティ対策の費用はどれくらいかかりますか？
- 多くは費用より「運用の手間」の問題です。更新作業を保守契約で制作会社に任せる場合は、月額の保守費用に含まれるのが一般的です。追加の製品を買う前に、更新・パスワード・バックアップの 3 つが回っているかを確認しましょう。
- 古いホームページはどうするべきですか？
- 何年も更新していないサイトは、作り直しも含めて検討する価値があります。特に CMS のバージョンが古く更新できない状態なら、脆弱性が修正されないまま公開され続けていることになります。
1
2
3
4
5
関連ページ