情報漏洩のニュースを見るたびに、「うちのホームページは大丈夫だろうか」と気になる方も多いのではないでしょうか。大きな会社の話に見えても、WordPressで作った中小企業のホームページも、毎日のように機械的な攻撃を受けています。
とはいえ、特別な製品を入れなくても、今日から見直せること はたくさんあります。ポイントは、守るべき情報をそもそもサイトにためないこと、そして 入口を絞り、更新とバックアップを続けること です。
この記事では、Cruwがお客様のサイトの保守で実際に行っている対策をもとに、中小企業のホームページで確認したいことをチェックリストにまとめました。
- 今日から確認できる、WordPressのセキュリティのチェックリスト
- Cruwが保守で行っている対策（自動更新と自動テスト、バックアップ、SiteGuard など）
- 「漏れたかもしれない」と思ったときに、最初にやること
結論：まず確認したい7つのこと
| 確認すること | 今日できること |
|---|---|
| 1. フォームで受け取った個人情報 | サイトの中に保存されていないか確かめ、不要なら保存をやめる・消す |
| 2. 管理画面のログイン | 推測されにくいパスワードにする。ログインの保護を入れる |
| 3. 使っていないユーザー・プラグイン | 退職者のアカウントや、止めたままのプラグインを削除する |
| 4. XML-RPC | 使っていなければ止める |
| 5. WordPress・プラグイン・PHPの更新 | 古いままのものがないか確かめる |
| 6. バックアップ | 自動で取れているか、戻せるかを確かめる |
| 7. サーバー・FTPの入口 | サーバーの管理画面やFTPのパスワードを見直す |
ひとつずつ、なぜ必要か、何をすればよいかを説明します。
1. フォームで受け取った個人情報を、サイトにためない
ホームページから漏れる情報でいちばん多いのは、お問い合わせフォームに入力された、名前・メールアドレス・電話番号・相談内容 です。
WordPressのお問い合わせフォームでよく使われる Contact Form 7 は、それだけでは送信内容をサイトに保存せず、メールで送るだけです。ところが、送信内容を保存する Flamingo などのプラグインを入れていると、お問い合わせの内容がWordPressのデータベースにたまり続けます。何年分もの個人情報がサイトの中にあれば、万が一のときに漏れる量も大きくなります。
- 管理画面のメニューに「Flamingo」や「お問い合わせ履歴」のような項目がないか確かめる
- メールで受け取れていれば、サイトに保存する必要がないことが多い。保存をやめるか、古いものを定期的に消す
- 採用の応募フォームなど、履歴書や健康状態にかかわる情報を受け取るフォームは、特に慎重に扱う
持っていない情報は、漏れません。 いちばんお金がかからず、効果の大きい対策です。
2. 管理画面のログインを守る
WordPressのログイン画面（/wp-login.php）は、どのサイトでも同じ場所にあるため、パスワードを総当たりで試す攻撃を受けやすい場所です。
- パスワードは長く、ほかのサービスと使い回さない
- ユーザー名を
adminなど推測しやすいものにしない - 1つのアカウントを複数人で使い回さず、1人1アカウントにする
Cruwでは、保守をお任せいただいているサイトに、国産のセキュリティプラグイン SiteGuard WP Plugin を入れています。無料で使え、管理画面の設定もわかりやすいのが特長です。主に次のような機能があります。
| 機能 | できること |
|---|---|
| ログインページ変更 | ログイン画面のURLを、標準の wp-login.php から変える |
| 画像認証 | ログイン画面に、画像の文字を入力する欄を付ける |
| ログインロック | ログインに何度も失敗したIPアドレスを、一時的に締め出す |
| ログインアラート | ログインがあったことをメールで知らせる |
| ユーザー名漏洩防御 | /?author=1 のようなURLから、ユーザー名を調べられないようにする |
| XML-RPC 防御 | XML-RPC へのアクセスを止める（次の項目で説明） |
なお、SiteGuard には2段階認証（パスワードに加えて、スマートフォンのアプリなどで確認する仕組み）の機能はありません。2段階認証を使いたい場合は、別のプラグインを組み合わせます。
さらに、システムの内容によっては、管理画面に入れるIPアドレスを、会社のネットワークなどに制限する こともあります。決まった場所からしか更新しないサイトなら、ログイン画面そのものを外から開けなくできるため、とても効果的です。
3. 使っていないユーザー・プラグイン・テーマを削除する
使っていないものも、残っているだけで入口になります。
- ユーザー：退職した方、制作時だけ使った外部の方のアカウントが残っていないか
- プラグイン：「停止中」のまま残っているプラグイン。停止していても、ファイルはサーバーに残っています
- テーマ：使っていない古いテーマ
- アプリケーションパスワード：外部のツールと連携するために発行した専用のパスワード。使い終わったものは「ユーザー」→「プロフィール」から取り消す
4. XML-RPC を使っていなければ止める
XML-RPC は、外部のアプリやサービスからWordPressに投稿するための、古くからある仕組みです。一方で、パスワードの総当たりなどの攻撃にも使われやすい入口です。
Jetpack や、スマートフォンのアプリから投稿するなど、XML-RPC を使う機能がなければ、止めてしまって問題ありません。Cruwでは、使っていないことを確認したうえで、SiteGuard の「XML-RPC 防御」で無効にしています。
5. WordPress・プラグイン・PHPを更新し続ける
公開されている脆弱性（プログラムの弱点）を突く攻撃は、更新していないサイトを機械的に探して行われます。更新を続けることが、もっとも基本的な対策 です。
ただ、更新すると、プラグインどうしの相性などで、表示が崩れたり、フォームが送れなくなったりすることもあります。「こわいから更新しない」が続くと、古いまま放置されてしまいます。
Cruwでは、独自に開発した保守管理ツール で、WordPressの自動更新に合わせて 自動でテストを行い、更新したあとにサイトに問題が出ていないかを確認しています。更新を止めずに、安心して続けるための仕組みです。
サーバーのPHPのバージョンも、古いままになっていないか確かめましょう。2026年10月のPHPの緊急脆弱性については、WordPressのサイトを持つ会社が今すぐ確認することで紹介しています。
6. バックアップを取り、戻せることを確かめる
どれだけ対策をしても、被害をゼロにはできません。改ざんされたときや、更新で不具合が出たときに、元の状態に戻せること が最後の守りになります。
Cruwの保守では、次のようにバックアップを取っています。
| 対象 | 頻度 | 中身 |
|---|---|---|
| データベース | 毎日 | 記事・固定ページ・設定など |
| ソース（ファイル） | 週1回 | テーマ・プラグイン・アップロードした画像など |
バックアップは、「取っているはず」ではなく、どこに、いつの分があり、どうやって戻すか までわかっていることが大切です。サーバー会社の自動バックアップを使っている場合も、何日分残るのか、戻すのに費用がかかるのかを確かめておきましょう。
7. サーバー・FTPの入口を見直す
WordPressの外にも、入口があります。
- サーバー会社の管理画面：パスワードを見直し、2段階認証が使えるなら設定する
- FTP：暗号化されない FTP ではなく、SFTP などの暗号化された方法を使う。使っていないFTPアカウントは削除する
- 制作会社や外部の人に渡した接続情報：今も使っているか、誰が知っているかを整理する
もし「漏れたかもしれない」と思ったら
見慣れないページが増えている、知らない管理者ユーザーがいる、サイトから迷惑メールが送られている、といったときは、次の順で対応します。
- 制作会社・保守会社とサーバー会社に連絡する：自分だけで直そうとして、記録を消してしまわないようにする
- パスワードを変える：WordPressの管理者、サーバーの管理画面、FTP、データベース
- 何が起きたかを記録する：気づいた日時、画面のスクリーンショット、サーバーのアクセスログ
- 原因をふさいでから、バックアップから戻す：原因が残ったまま戻すと、また同じことが起きる
- 個人情報が漏れたかどうかを確かめる：フォームの送信内容などが見られた可能性があるか
個人情報が漏れた、またはそのおそれがある場合、内容によっては、個人情報保護委員会への報告と、本人への通知 が法律で必要になります。個人情報保護委員会によると、報告が必要になるのは、次のような場合です。
- 病歴などの 要配慮個人情報 が含まれる
- クレジットカード番号など、不正に使われるとお金の被害が出るおそれ がある
- 不正アクセスなど、不正な目的で行われたおそれ がある
- 漏れた人数が 1,000人を超える
注意したいのは、3つ目です。サイトが不正アクセスを受けて個人情報が漏れた場合は、人数が少なくても報告が必要になる ことがあります。報告は、発覚してから速やかに（3〜5日以内に）速報を、30日以内（不正な目的のおそれがある場合は60日以内）に確報を出すことになっています。くわしくは、個人情報保護委員会のページで確認してください。
よくある質問
小さな会社のホームページでも狙われますか？
狙われます。多くの攻撃は、特定の会社を選んで行われるのではなく、プログラムが自動で、弱点のあるサイトを片っ端から探して行われます。会社の大きさや知名度に関係なく、「古いまま」「入口が開いたまま」のサイトが狙われやすくなります。
セキュリティプラグインを入れれば、それで十分ですか？
プラグインは入口を守るのに役立ちますが、それだけでは十分ではありません。更新が止まっていれば弱点は残りますし、被害が出たときに戻すにはバックアップが必要です。この記事のチェックリストのように、いくつかの対策を組み合わせることが大切です。
自動更新はオンにしたほうがいいですか？
基本的にはおすすめです。ただ、更新で表示や動作に不具合が出ることもあるため、更新したあとに確認する仕組みと、すぐに戻せるバックアップをセットにしておくと安心です。Cruwの保守では、自動更新に合わせて自動テストとバックアップを行っています。
まとめ
- まず、お問い合わせフォームなどで受け取った個人情報を、サイトの中にためていないか確かめましょう。持っていない情報は漏れません
- ログインの保護、使っていないユーザー・プラグインの削除、XML-RPC の停止で、入口を絞りましょう
- 更新を止めずに続け、毎日のバックアップで「戻せる」状態にしておくことが、いちばんの備えです
ホームページは作ったら終わりではなく、公開したあとも手入れを続けていくものです。Cruwでは、ホームページ制作のあとの更新・保守もお任せいただけます。「自社のサイトが今どうなっているか見てほしい」「更新やバックアップを任せたい」といったご相談も、お問い合わせからお気軽にご相談ください。
参照元：個人情報保護委員会『漏えい等の対応とお役立ち資料』 https://www.ppc.go.jp/personalinfo/legal/leakAction/
