皆さんこんにちは！エネオスです！
ブログやWebサイトを運用してる人のほとんどが利用しているWordPress。
実はかなりセキュリティリスクが高いことを知っていましたか？
実際に2021年には、とある企業のWordPressで作成されたWebサイトが改ざんされ、アクセスすると悪意ある外部サイトに飛ばされるという事件がありました。
また2016年には、合わせて150万件以上のWordPressで作られたWebサイトがセキュリティ被害にあっています。
その他にも、小さな被害を含めると毎日とんでもない数の被害が発生しています。
大事なブログやサイトを守る為にも、WordPressのセキュリティ対策は今や必須といえるでしょう。
そこで今回はWordPressのセキュリティリスクについての基礎知識をお伝えした後に、すぐにできる具体的な対策について解説していきたいと思います。
- WordPressで作られたブログやサイトを運営している方
- Webサイト制作をしている方
- セキュリティに興味がある方
WordPressのセキュリティリスクが高い理由
まず最初に、なぜWordPressは数あるサイト運用システムの中でもセキュリティリスクが高いと言われるのか、その原因について解説していきたいと思います。
利用者数が多い
WordPressは全世界のWebサイトの1/4を占めると言われているくらい、圧倒的な利用者を持つシステムです。
利用者が多いということは、日々様々な改良が行われどんどん使いやすくなるというメリットがある反面、悪意あるユーザーが集まるというデメリットにもなります。
1度穴を見つけてしまえば、攻撃対象が限りなく存在するのでハッカー達にとってWordPressは格好の餌というわけです。
無料である
無料で使いやすいということも、セキュリティリスクが高い理由の1つです。
WordPressは利用に一切お金がかからず、しかも簡単にインストールができる為、誰でも気軽に利用が可能です。
そのためユーザーの中にはITリテラシーが低く、セキュリティに関して知識のない人が多くいます。
また、無料で気軽に使えるということは、ハッカー達にとっても同様です。
簡単にソースコードをダウンロードして解析することが可能なので、現状改善とハッキングのいたちごっこのような状態になってしまっているわけです。
大量のプラグイン
WordPress本体のログイン画面から直接不正アクセスされるルート以外に、プラグインの脆弱性を攻撃されて不正アクセスされるルートもあります。
プラグインはWordPressを好きなようにカスタマイズ出来る拡張機能で、本体とは別の有志の開発者達によって開発・提供されています。
そのため、中には更新がストップしているものやセキュリティリスクが高いものが紛れ込んでいる可能性があります。
WordPressを使う以上、プラグインを完全に使わないことは不可能なので、出来る限り有名な定期的に更新されているものを使うようにしましょう。
セキュリティ被害内容
続いて、実際にサイトが万が一セキュリティ被害に遭ってしまった場合、どのような被害を受ける可能性があるのかについて確認していきましょう。
Webサイトデータの改ざん
管理画面などに不正アクセスされることで、サイトのデータを勝手に変えられてしまう可能性があります。
WordPressは管理画面から、サイトを構成しているソースコード(サイトの設計図のようなもの)を編集できるため、様々な変更を自由にされてしまいます。
Webサイトデータが勝手に変更されてしまうと、サイトのデザインが元に戻らなくなったり、おかしな動きをするようになってしまいます。
また、サイトに訪れたユーザーを外部の悪意あるサイトに自動的に飛ばすシステムなどを組み込まれてしまう可能性もあります。
もしそうなった場合、大きくサイトの信頼を失うことに繋がりますし、その結果ユーザーが被害を受けた場合、サイト管理の責任を問われる可能性もあります。
個人情報流出・データ破壊
サイトで個人情報などの重要なデータを扱っている場合、情報が流出したりデータを破壊されるリスクがあります。
お客さんの個人情報が流出してしまうと、非常に大きな問題となり、信頼を失うばかりかサイト管理が法的責任を負う可能性があります。
また、蓄積された顧客データや積み上げてきたブログの記事データなどは、完全に破壊されてしまうと復旧することは非常に困難です。
ただ、定期的に大事なデータのバックアップをとっていた場合、状況次第で復旧が可能になる場合があります。
ファイルの削除・不正ファイルの追加
ファイルを勝手に削除されたり、逆に不正なファイルを勝手に追加される可能性もあります。
WordPressは大事なファイルだと1つ削除されるだけで、サイトが表示されなくなってしまいます。
一切編集を加えていないファイルであれば、後から再ダウンロードしたりと対応が可能ですが、編集を加えている場合その内容は失われてしまう可能性が高いです。
また不正ファイルを作成されてしまうと、そもそもサイトへのアクセスが出来なくなってしまったり、不要なファイルを大量に作成し続けるシステムを勝手に実装されてしまったりします。
どちらにせよ、ファイルをいじられることはサイトにとって非常に危険な行為だということは、頭に入れておきましょう。
今すぐできる対策
ここまでで、「WordPressのセキュリティリスクが高い理由」と「セキュリティ被害に遭うと、どんな被害があるのか」について理解していただけたかと思います。
最後は今すぐできるWordPressのセキュリティリスクを下げる対策について紹介していきます。
セキュリティ対策用のプラグインを入れる
WordPressのセキュリティを高めるプラグインはたくさんありますが今回は「SiteGuard WP Plugin」というプラグインを紹介します。
SiteGuard WP Pluginをインストールして有効化することで、以下の機能を使用することができます。
- ログインロック
- フェールワンス
- ログイン通知
- ログインURL・管理画面URLの変更
順番に解説していきます。
ログインロック
ログインロックは、連続でログインに失敗すると一定時間操作にロックがかかるというものです。
みなさんもIDやパスワードを入力する際、何回か連続で失敗した際に「◯分後に再度お試しください」という文字が表示され、ログイン画面を表示できなくなった経験があるのではないでしょうか。
SiteGuard WP Pluginをインストールすることで、その機能をWordPressのログイン画面に追加することができます。
ロックするまでの連続失敗回数や、ロックする時間などは管理画面のプラグインの設定からカスタマイズが可能です。
この機能を有効にしておくと、無作為に大量のID・パスワードを入力する不正アクセスからサイトを守ることができます。
フェールワンス
フェールワンスは、正しいIDとパスワードを入力しても、必ず1度ログイン失敗になる機能です。
面倒臭いと感じるかもしれませんが、万が一正しいIDとパスワードを入力されてしまった場合でも2回試されなければ不正アクセスからサイトを守ってくれます。
逆に2回試されるとそのまま不正アクセスを許してしまうため、あくまで保険のようなものだと認識しておきましょう。
ログイン通知
ログイン通知は文字の通り、サイトにログインするとメールで通知が来るというものです。
自分がサイトを触っていない時でもメールで通知が来るので、不正アクセスされた際にいち早く気が付くことができます。
不正アクセスされてしまったとしても、素早く対応できれば被害を最小限にとどめることが出来るかもしれません。
こちらの機能は他の機能と合わせて、万が一の時のために設定しておきましょう。
ログインURL・管理画面URLの変更
ログインURL・管理画面URLの変更は、デフォルトのログイン画面や管理画面アクセスするためのURLを変更できる機能です。
WordPressを立ち上げた後、特に設定を変更していない場合、ドメインの後ろに「/wp-login」もしくは「/wp-admin」と入力することで、簡単にログイン画面を開くことが出来ます。
ログイン画面に入られてしまうと、IDとパスワードさえ正しいものを入力すれば簡単に管理画面にログインできてしまいます。
そのため、まずログイン画面に入られないことが非常に重要です。
ログインURL・管理画面URLをオリジナルのものに変更することで、サイトのセキュリティは大きく向上するでしょう。
※ログインURL・管理画面URLを変更する際は、絶対にメモをして忘れないようにしましょう。忘れてしまうと管理画面にログインできなくなってしまいます。
常にバージョンを最新のものにしておく
WordPress本体やプラグインは常に最新の状態にしておきましょう。
バージョンの更新には機能のアップデートの他にも、発見されたセキュリティの脆弱性を補うアップデートも頻繁に行われます。
本体やプラグインをバージョンアップしないと、発見された脆弱性がそのままになるのでハッキングの対象になりやすいです。
ただし、プラグインをバージョンアップするとごく稀に本体との相性が悪くなって動かなくなったり、表示が崩れる場合があります。
バージョンアップの際は、必ず本体との互換性の確認と、更新前のバージョンを確認しておくようにしましょう。
不要なプラグインを削除する
有効化されてない、不要なプラグインはすぐに削除しましょう。
インストールされているプラグインは、有効化されていなかったとしても、セキュリティに脆弱性があればハッキングの窓口にされてしまう可能性があります。
使われていないプラグインはアップデートされずに放置されているケースが多いので、管理が面倒であれば削除するようにしましょう。
不要なユーザーを削除する
サイトに不要なユーザーアカウントがある場合は削除しましょう。
ユーザーアカウントがあればあるほど、総当たりの不正アクセスが成功する確率が上がります。
特に管理者権限を持つユーザーアカウントは必要最小限に抑えましょう。
また過去にサイト運営に携わっていたけど、途中で抜けたユーザーなどでまた戻ってくる可能性がある場合などは、権限を管理者ではなく購読者に変更しておきましょう。
安全性の高いパスワードを使用する
パスワードは最低でも8文字以上で、数字やアルファベットを複数種使用したものを設定しましょう。
たまにデフォルトで設定される「password」や「root」などをパスワードに設定しているサイトがありますが、これらは非常に特定されやすく危険なので絶対に変更しましょう。
またユーザー名も「admin」や「root」などは入力されやすいので、自分オリジナルのユーザー名を設定しましょう。
まとめ
ここまで読んでいただきありがとうございました！
WordPressは非常に便利で使いやすいシステムであるがゆえに、リスクも抱えているということが分かっていただけたかと思います。
ただ、それでも大勢の人がいまだにWordPressを使い続けているのは、リスク以上の便利さがあるからだということは間違いありません。
今回紹介した対策は、プログラミング知識が全くない人でも今日から実践できる非常に簡単なものなので、知識がなくても大丈夫です。
実践していただくだけでセキュリティリスクをかなり軽減できるので、是非試してみてください。
この記事の内容を参考にして、1つでも多くのWordPressサイトのセキュリティが高まってくれればとても嬉しいです！
