古いWordPressを放置すると起こる3つの被害と、まず確認すること

「うちのサイトは小さいから、狙われない」。そう考えて、WordPressを何年も更新していない会社は少なくありません。

実際には、攻撃の多くは、相手を選ばずに自動で行われます。古い版のWordPressやプラグインを使っているサイトを、機械的に探して回るためです。会社の大きさは関係ありません。

この記事では、起こりうる3つの被害と、自社のサイトの状態を確認する方法をまとめます。同じ内容を、約1分の動画でもご覧いただけます。

被害1：情報が流出する

お問い合わせフォームから送られた名前、メールアドレス、電話番号が、サイトのデータベースに保存されていることがあります。会員登録のあるサイトや、予約を受け付けているサイトでは、さらに多くの情報が入っています。

古いWordPressやプラグインの弱点を突かれると、こうした情報を外から読み取られるおそれがあります。流出が分かれば、お客さまへの連絡や、原因の調査が必要になります。

被害2：サイトが改ざんされる

サイトの中身を、勝手に書き換えられる被害です。

• 関係のない広告や、別のサイトへのリンクが埋め込まれる
• 開いた人が、別のサイトへ自動で飛ばされる
• 見た目は変わらないまま、裏で不正なプログラムが動く

厄介なのは、自社では気づきにくいことです。検索の結果やブラウザーに、危険なサイトだという警告が表示されて、お客さまから知らされることもあります。警告が出ると、サイトを開く人は大きく減ります。

被害3：攻撃の踏み台にされる

自社のサイトが、ほかへの攻撃に使われる被害です。

• 迷惑メールを、大量に送る場所として使われる
• ほかのサイトを攻撃する中継点にされる

この場合、被害者であると同時に、加害の側にも立たされます。サーバー会社からサイトを止められたり、自社のメールが相手に届かなくなったりすることがあります。

なぜ、古いと危ないのか

WordPress、プラグイン、PHPには、日々、弱点が見つかっています。見つかった弱点は、更新によって修正されます。

更新していないサイトは、すでに知られている弱点が、そのまま残っている状態です。弱点の内容は公開されているので、攻撃する側は、古い版を使っているサイトを探すだけで済みます。

古いサイトが、必ず被害に遭うわけではありません。ただ、放置した期間が長いほど、残っている弱点は増えていきます。

まず確認すること

専門の知識がなくても、次の4つは確認できます。

1. WordPressの版

管理画面の「ダッシュボード」→「更新」を開きます。「新しいバージョンがあります」と出ていれば、更新が止まっています。

2. PHPの版

管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。項目が見当たらないほど古いWordPressの場合は、サーバーの管理画面で確認します。

3. プラグイン

「プラグイン」の一覧を開きます。更新の通知がたくさん出ていないか、使っていないプラグインが残っていないかを見ます。使っていないものは、止めるだけでなく、削除します。

4. ログインの情報

• 管理者のユーザー名が「admin」のままになっていないか
• パスワードが、短く単純なものになっていないか
• 退職した人のアカウントが残っていないか

古いと分かったら

古いと分かっても、その場で更新のボタンを押すのは勧めません。長く更新していないサイトを一度に更新すると、表示されなくなることがあります。

1. まず、バックアップを取る
2. 何が、どのくらい古いかを調べる
3. 写しで更新を試してから、本番に反映する

まとめ

• 攻撃は、会社の大きさに関係なく、自動で行われる
• 起こりうる被害は、情報の流出、サイトの改ざん、攻撃の踏み台の3つ
• WordPress、PHP、プラグイン、ログインの情報の4つは、自分で確認できる
• 古いと分かっても、いきなり更新しない