WordPressサイトが乗っ取られるとき、原因は大体同じという話

弊社では「サイトが乗っ取られたかもしれません」というご相談を、何度か受けたことがあります。

実際に見てみると、原因はだいたい似通っています。特別なハッキング技術が使われているケースはほとんどなく、むしろ「よくある管理の抜け」を突かれていることがほとんどです。

実生活でいう戸締りのようなものです。鍵をかけ忘れる、窓を閉め忘れる。どれも単純作業ですが、一つでも抜けると効果が薄れます。

今回は、そうした相談の中で実際によく見かけた3つの原因をご紹介したいと思います。

原因1. WordPress本体・プラグイン・テーマが古いまま

最も多いのが、バージョンの放置です。WordPress本体やプラグイン、テーマは、脆弱性が見つかるたびに修正版がリリースされます。逆にいえば、古いバージョンのまま使い続けているサイトには、すでに世の中に知られている脆弱性がそのまま残っている状態です。

攻撃する側にとって、これほど都合の良い標的はありません。ゼロから穴を探す必要がなく、「バージョンが古いサイト」を機械的に見つけて、既知の脆弱性を突くだけで済むからです。労力をかけずに攻撃できるサイトから狙われるのは、ある意味当然といえます。

「こまめにアップデートする」と言葉にするのはかんたんですが、実際に何をどこまでチェックすればいいのか、迷ってしまう方も多いかもしれません。保守管理として最低限やっておきたい作業を以下の記事でまとめていますので、あわせて確認してみてください。

原因2. 管理画面のログイン情報が弱い

「admin」のようなありがちなユーザー名と、単純なパスワードの組み合わせは、機械的な総当たり攻撃（ブルートフォースアタック）であっさり突破されてしまいます。

攻撃者は人力で試しているわけではなく、プログラムで大量の組み合わせを自動的に試すため、推測しやすい情報ほど早く突破されます。

中でもリスキーなのは、ユーザー名自体がサイト上に晒されているケースです。ニックネームを設定せずにいると、投稿者名としてユーザー名がそのまま表示されてしまい、攻撃者はパスワードを推測するだけで済んでしまいます。ログイン情報の半分を自ら公開してしまっている状態なのです。

• ユーザー名を「admin」や「master」などにしないこと
• パスワードを推測されにくいランダムな文字列にすること
• ニックネームをきちんと設定してユーザー名を隠しておくこと

地味な作業ですが、どれも非常に効果の高い対策です。高度な対策より先に、まずこういった基本をおさえておくことが大事です。

原因3. 使っていないプラグインが放置されている

「今は使っていないけど、念のため残している」というプラグインは、多くのサイトに存在します。

しかし、無効化しているだけでは対策になりません。プラグイン自体はサーバー上に残っているため、そこに脆弱性があれば、攻撃の入り口として利用されてしまうからです。

使っていないプラグインは、無効化ではなく削除するのが正解です。

今日からできる乗っ取り対策の基本と備え

ここまでの3つの原因は、裏を返せばそのまま対策になります。

1. WordPress本体とプラグイン、テーマはこまめにアップデートする
2. 管理画面のユーザー名とパスワードは推測されにくいものにする（ニックネームの設定も忘れずに）
3. 使っていないプラグインは、無効化ではなく削除する

どれも難しい作業ではなく、この3つを徹底するだけで乗っ取りのリスクはかなり下げられます。

ただし、対策をしていても100%防げるわけではありません。万が一の乗っ取りに備えて、サイトのバックアップだけは定期的に取っておくことをおすすめします。復旧にかかる時間を大きく左右するのは、結局のところ「直前の正常な状態が残っているかどうか」だからです。

以下は、弊社でもよく利用しているバックアップ用のプラグインです。無料で容量制限も無くおすすめです。

まとめ

サイトは一度乗っ取られてしまうと、検索エンジンからの評価が落ちるだけでなく、復旧にも相応の手間と時間がかかります。特別な技術は使われていないからこそ、最低限の対策をしておくだけで防げるケースも多いです。事前の一手間で防げるならそれに越したことはありません。

今回は相談の中でよく見かける3つの原因に絞ってご紹介しましたが、乗っ取りの具体的な手口や症状、実際に乗っ取られてしまった場合の復旧方法まで詳しく知りたい方は、下記記事もあわせてご参照ください。

ログインまわりの関連記事

ログインまわりの対策をもう一段強化したい方は、こちらの記事も参考になります。