- ニュースで多発する「WordPress脆弱性攻撃」で何が起きているのか
- 攻撃の9割超はプラグイン・テーマの「既知の脆弱性」が原因という現実
- 日本企業が「古いサイト」を放置してしまう3つの構造的理由
- 専門知識がなくても実行できる、経営者向けの防衛5ステップ
「◯◯社のWebサイトが不正アクセスで改ざん」「プラグインの脆弱性を突かれ、顧客情報が流出」——サイバーセキュリティのニュースを見ない日はありません。そしてその多くで共通して登場するのが、「WordPress（ワードプレス）」と「脆弱性の放置」というキーワードです。
世界のWebサイトの約4割で使われるWordPressは、便利さの裏で攻撃者に最も好まれる標的でもあります。なぜ、これほど注意喚起されているのに「古いバージョンのまま放置されたサイト」が後を絶たないのか。本記事で、背景・データ・リスク・防衛策を整理します。
「WordPress脆弱性攻撃」で何が起きているのか
多くの経営者が「うちは有名企業ではないから狙われない」と考えます。しかし現代の攻撃の主流は、自動化ボットによる無差別スキャンです。
つまり、企業の知名度や事業規模は一切関係ありません。「古いシステムを使っているかどうか」だけが、唯一のターゲット基準なのです。主な被害の形は次の3つです。
自社サイトを開くと、海外の詐欺ECサイトやウイルス感染サイトへ強制的に飛ばされる。
自社サーバーから世界中に迷惑メールが送信され、自社ドメインが「ブラックリスト」入りする。
問い合わせフォームのデータベースが盗まれ、顧客の個人情報がダークウェブで売買される。
特に恐ろしいのは、「ハッキングされても会社側が気づかないケース」です。裏で密かにスパム送信基地として使われ、外部からの指摘で初めて発覚し、取引先の信用を一気に失う事例が後を絶ちません。
データで見る「古いサイト」放置の実態
各種セキュリティ調査からは、日本企業の「Webサイト老朽化」の深刻さが浮かび上がります。
※数値は各種セキュリティ調査・レポートで示された傾向値であり、調査主体・対象により幅があります。
IPA（情報処理推進機構）の公表資料でも、Webサイトの脆弱性を悪用した攻撃の多くは「既知の脆弱性」——すでに修正パッチが配布されているのに企業側が適用していない“穴”を突かれたものだと繰り返し警告されています。つまり、多くの被害は「更新するだけで防げた」ものなのです。
「古いサイト」は、私たち自身の点検でも珍しくありませんでした。地方の商工会議所・商工会クラスのサイトを外周点検したところ、診断できた20団体のうち7割でCMSやサーバーのバージョンが丸見え、半数で管理ログイン画面が外から見える状態でした（個別団体名は伏せています）。バージョンが分かるということは、攻撃ボットに「このサイトに効く既知の攻撃コード」を教えているのと同じです。“ちゃんとした組織”でもこの状態、という前提で自社を見直してください。
なぜ企業は「古いサイト」を放置するのか
- 「動いているから触るな」の文化：IT専門部署のない中小企業では「今表示できているのに、更新して崩れたら困る」という心理が働く。
- 制作会社との保守契約が不在：初期費用だけ払い月額保守を結ばず、社内にも管理者がいない「オーナー不在サイト」化。
- 担当者の異動・退職でナレッジ断絶：ログインID・パスワード・サーバー契約情報すら分からず、物理的に更新できない。
今すぐ、自社サイトの危険性をチェック
ドメインを入れるだけで、「誰でも管理画面に入れる状態になっていないか」「サイトの鍵（暗号化）が切れていないか」「古いシステムのまま放置されていないか」を、誰でも見られる情報の範囲で自動チェックします。
自社サイトが「いつ点検されたか」
分からない方へ。無料で現状点検します。
公開情報の範囲で、CMSの状態・既知の弱点・SSL・露出情報などを点検し、直すべき箇所を優先度順にレポートでお渡しします。調査は不正アクセス禁止法を完全遵守します。
オンライン対応・押し売りなし【独自視点】Webサイトは「建物」と同じ。修繕を怠れば倒壊する
セキュリティを技術論ではなく、経営の視点で捉え直しましょう。自社ビルや店舗なら、外壁の塗り替え、エレベーター点検、消防設備の検査を定期的に行います。修繕を怠って看板が落下し通行人を傷つければ、企業は当然、法的責任と社会的制裁を受けます。
Webサイトも、デジタル空間における「自社ビル（社屋）」と全く同じです。「サイバー攻撃を受けた被害者」として同情してもらえる時代は終わりました。放置して他者への攻撃拠点（加害者）になれば、「適切な管理を怠った安全配慮義務違反の企業」として厳しく問われるのが、現代のルールです。
放置がもたらす経営上の損害コスト
- 復旧費用の高額化：原因究明・調査・復旧・再発防止で、数十万〜数百万円規模の突発費用。
- Googleからの検索除外：マルウェアが仕込まれたサイトは検索結果から即削除。復旧しても順位が戻る保証はない。
- 法的責任と信頼失墜：自社サイトが原因で訪問者がウイルス感染すれば、損害賠償や信用失墜は免れない。
経営者が今すぐ講じるべき「防衛の5ステップ」
専門知識がなくても実行できる、現実的なガイドラインです。
- 現在のバージョンと最終更新日を確認：管理画面にログインし、赤・オレンジの更新警告が出ていないか確認する。
- 自動バックアップを導入：
UpdraftPlus等でGoogleドライブ等へ毎日自動保存。「元に戻せる」ことが最大の保険。 - セキュリティプラグインを導入：
SiteGuard WP PluginやWordfence SecurityでログインURL変更・試行回数制限を行う。 - 不要なプラグインを削除：「無効化」だけでは脆弱性が残る。使っていないものは完全に削除する。
- サーバーのWAFを有効化：エックスサーバー、さくら、ConoHa WING等が標準提供するWAF（ワフ）をONにし、悪意ある通信をサーバー手前で遮断する。
自社での対応が難しい場合は、月額数千円〜のWeb保守サービスに、更新作業・バックアップ確認・監視を委託するのが現実的です。事故時の調査・復旧費用（数十万〜数百万円）に比べれば、極めて安価な“保険”になります。Webサイトのセキュリティは「IT投資」というより「火災保険」——起きた時の損害が大きすぎるからこそ、最小限の防衛コストを惜しんではいけません。
よくある質問（FAQ）
中小企業のサイトでもWordPressは狙われますか？
はい。攻撃の主流は自動ボットの無差別スキャンで、知名度や規模は関係ありません。「古いシステムを使っているか」だけが標的の基準です。
被害は本体とプラグイン、どちらが原因ですか？
各種調査では、不正侵入の多く（9割以上とする報告もあります）が、本体ではなく放置されたプラグイン・テーマの既知の脆弱性が原因とされています。
更新するとサイトが壊れそうで怖いです。
事前に自動バックアップを設定し、可能ならテスト環境で検証してから本番に反映します。難しければWeb保守サービスへの委託が現実的です。
最低限やるべき対策は？
自動バックアップ／本体・セキュリティ関連の自動更新／セキュリティプラグイン／不要プラグインの削除／サーバーWAFの有効化、の5点です。
まとめ｜「古いサイト」は信頼を脅かす静かな爆弾
WordPressは非常に優れた道具ですが、研ぐのをやめた刃物が錆びるように、メンテナンスを怠れば危険な存在に変わります。「うちは大丈夫」という根拠のない過信を捨て、自社サイトが「いつ点検されたのか」を今すぐ確認してください。早期のメンテナンスこそが、会社のデジタル資産と顧客の信頼を守る唯一の方法です。
「うちのサイトは古くないか」を、
プロが外部の視点で無料点検します。
公開情報の範囲でCMS・脆弱性・露出情報を点検し、優先度の高い対策から整理してお渡しします。押し売りはしません。
オンライン対応・所要約30分・押し売りなし