WordPress改ざんが起きる原因と脆弱性診断の重要性

1. WordPressが改ざんされる原因

WordPressは世界中で使われている分、攻撃者にとっても狙いやすいシステムだ。本体だけでなく、プラグインやテーマにも脆弱性（セキュリティ上の弱点）が次々と見つかっており、放置すればそのまま攻撃の入り口になる。

中小企業のサイトでは「制作会社に納品してもらった後は誰も触っていない」というケースが多い。担当者が異動・退職して更新作業自体が止まり、気づいたときには何年も古いバージョンのまま運用されていた、という例は珍しくない。

管理画面のログイン情報も原因になりやすい。パスワードを他のサービスと使い回していたり、ログインURLが初期設定のままだったりすると、自動化された攻撃（総当たり攻撃）で突破されるリスクが高まる。作りっぱなしで誰も見ていないサイトほど、異変に気づくのも遅れる。

2. 改ざんに気づいたときすぐやるべき応急処置

不審な表示やGoogleからの警告に気づいたら、被害をこれ以上広げないために、まず落ち着いて次の手順で対応する。

自己判断で表示だけを元に戻しても、原因になった裏口（バックドア）が残っていれば再び改ざんされる。応急処置はあくまで被害拡大を止めるためのものと理解しておく。

• サイトを一時的に非公開・停止する（レンタルサーバーの管理画面やメンテナンスモードを使う）
• 管理者・FTP・データベースのパスワードをすべて変更する
• 直近の正常なバックアップの有無と取得日時を確認する
• 見覚えのないプラグインやユーザーアカウントが追加されていないか確認する
• レンタルサーバー会社に連絡し、不正アクセスの形跡や不審なメール送信がないか確認してもらう

3. 根本原因を断つ：脆弱性診断で分かること

応急処置だけでは、攻撃者が仕込んだ裏口が残ったまま数か月後に再び改ざんされることがある。表面上は元に戻っても、原因を取り除かない限り再発するのが典型的なパターンだ。

脆弱性診断では、WordPress本体・プラグイン・テーマのバージョンに既知の脆弱性が残っていないか、管理画面や設定ファイルが外部から不必要に閲覧できる状態になっていないか、ファイルやフォルダの権限設定に不備がないかといった点を、専門的な観点から一つずつ洗い出す。

診断結果は「今すぐ対応すべきもの」「計画的に対応すべきもの」に優先順位をつけて示される。限られた時間と予算の中でも、どこから手をつければよいかが明確になり、勘や経験に頼らない対応ができるようになる。

4. 改ざんを繰り返さないための運用の仕組み

一度きれいに復旧しても、その後も更新作業を続ける仕組みがなければ同じことが繰り返される。改ざんの多くは「作った後の運用」が抜け落ちていることが根本の原因だ。

個人の記憶や善意に頼った運用は、担当者が変わった瞬間に途切れる。誰が・いつ・何をするかをあらかじめ決めて、仕組みとして回せる状態にしておくことが重要になる。

• WordPress本体・プラグイン・テーマの更新を、月次など定期的に行う担当とスケジュールを決める
• 管理画面へのログインを二段階認証やIPアドレス制限で保護する
• サイトの改ざんを自動で検知する監視サービスを導入する
• バックアップを定期的に取得し、実際に復元できる状態か年に一度は確認する

5. 自社で対応するか、外部に任せるか

更新作業自体は難しくないが、脆弱性の有無を正確に判断したり、改ざんの痕跡を専門的に調査したりするには専門知識が要る。社内に詳しい担当者がいないまま自己流で対応すると、かえって復旧を遅らせてしまうこともある。

目安として、社内に技術担当がいてサイトの構造をある程度把握できているなら、自社対応も選択肢になる。一方、担当者が不在・制作会社と連絡が取れない・過去に改ざんを繰り返しているといった状況では、早めに専門家による診断と保守運用への切り替えを検討したほうがよい。

データで見る中小企業のサイト更新実態

総務省「令和6年通信利用動向調査」（2025年5月公表）によると、自社のホームページを開設している企業の割合は93.2%で、開設していない企業は5.5%にとどまる。自社サイトを持たないことのほうが例外的な状態になっており、裏を返せば、ほとんどの企業が「更新を続けなければならないサイト」を抱えていることになる。制作した時点で終わりではなく、運用が前提の資産として扱う必要がある。

運用面の実態はどうか。IPA（独立行政法人情報処理推進機構）「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年5月公表、中小企業4,191社）では、OSやソフトウェアを最新の状態にしている企業は73.0%ある一方、情報セキュリティに関する社内ルールを定めている企業は39.2%、緊急時の対応体制を整備している企業は39.8%にとどまる。更新そのものは行われていても、誰がいつ実施するかを決めたルールと、改ざんが起きた際の対応手順が抜け落ちている企業が多数派だということだ。

自社を振り返るときは、「更新しているか」だけでなく「更新のルールと緊急時の手順が文書として存在するか」を基準に判断したい。両方が揃っていなければ、担当者が変わった時点で本記事の二大原因である更新の放置に戻る可能性が高い。

• 総務省「令和6年通信利用動向調査」（2025年5月公表）：ホームページ開設率93.2%、未開設5.5%
• IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年5月公表）：OS・ソフトウェアを最新に保つ企業73.0%
• 同調査：情報セキュリティの社内ルールを定めている企業39.2%、緊急時の対応体制を整備している企業39.8%
• 確認の目安は、更新の担当者・頻度と、改ざん発生時の連絡先が書面で決まっているかどうか

まとめ

WordPressの改ざんは、更新の放置と脆弱な認証情報という構造的な原因から起きる。応急処置で被害の拡大を止めた後は、脆弱性診断で原因を特定し、定期更新と監視の仕組みを作ることで再発を防げる。まずは自社サイトのWordPress本体とプラグインのバージョンが最新かどうかを確認することから始めよう。