【WordPressセキュリティ解説】本当に弱いの？ハッキングの仕組みと脆弱性への対策方法を徹底解説！

みなさん、こんにちは。ウェブ企画パートナーズの竹内です。今回はWordPressのセキュリティについてお話したいと思います。

お客様との打ち合わせでよく「ホームページをCMSで作りますか？」と聞かれることがあります。弊社ではWordPressを利用されるお客様が多いとお伝えするのですが、「WordPressはセキュリティに弱い」という噂がひとり歩きしていて、必要以上に恐れすぎてしまっているシーンをよく目にします。

なぜこういったことが起こるのでしょうか？それはセキュリティという概念が難しいからです。ハッカーが「カチャカチャ」とパソコンを操作して、どこかにアクセスしてパスワードを盗み出したり侵入したりする…そんな映画的なイメージが先行して不安になられていることが多いのではないでしょうか。

そこで今回は、より具体的に以下のことをお話していこうと思います：

• 具体的にどういった攻撃を受ける可能性があるのか
• セキュリティの弱さが招く結果は何か
• どういう経路でセキュリティ的に弱くなるのか

これらを知っていただくことで、必要以上に恐れずに「こういうところに気をつければいいんだな」と理解できるようになるはずです。

どういった攻撃を受ける可能性があるのか

まず最初に、仮にセキュリティ的に弱くてWebサイトがハッキングされてしまった場合、どういった攻撃を受ける可能性があるのかをお伝えします。

1. 何かが埋め込まれる

どんなものが埋め込まれるのかを知ることが重要です。いくつかパターンがあります：

1-1. 詐欺的なサイトへの誘導

どこかに誘導させるというものです。誘導の方法はさまざまで、サイトに訪れた瞬間に別のサイトに自動転送されるケースもあれば、サイト内のどこかにバナーやリンクを埋め込んで「オンラインカジノはこちら」などと表示するケースもあります。

1-2. 仮想通貨マイニング

現代ならではの攻撃です。仮想通貨のマイニング（通貨を作り出す作業）にWebサイトを利用するというものです。具体的には、ユーザーがWebサイトにアクセスした際に、そのパソコンやスマホの能力を使ってコードを読み込み、通貨を生み出す作業をさせます。多くの人がアクセスするWebサイトでこのコードが読み込まれれば、攻撃者は自分のパソコンを使わずとも、他人のパソコンを使ってマイニングができるというわけです。

これが違法かどうかは微妙なところで、ユーザーに許可を取った上で「広告の代わりに仮想通貨のマイニングをさせてください」というビジネスモデルも存在します。しかし、許可なく行われる場合は問題です。

1-3. マルウェア

いわゆるパソコンのウイルスです。Webサイトに訪れた時に、ユーザーのパソコンに何かをダウンロードさせ、ソフトウェアをインストールして情報収集したり、悪用したりします。

ただし、最近のGoogle ChromeやSafariなどのブラウザは、勝手にダウンロードさせるような仕様にはなっていないので、ほとんど起こらないケースです。ただ、ブラウザのリリース時に見逃しがあった場合などに、その隙を突いてマルウェアをダウンロード可能な状態にすることはゼロではありません。

2. 何かが設置される

2-1. バックドア関連

これは今すぐ攻撃というわけではなく、将来的な攻撃のために「バックドア」と呼ばれる裏口を仕込んでおくというものです。例えば、ハッキングされた形跡に気づいてパスワードを変更しても、このバックドアが巧みに隠されたまま残っていると、再び侵入されることがあります。

2-2. キーロガー

皆さんが普段入力している内容を読み取るツールです。タイピングした文字列を記録するため、お問い合わせフォームに入力されたクレジットカード番号やパスワードなどの情報を収集することができます。

2-3. 顧客情報の流出

サーバー内に顧客情報を保存している場合、そのデータを盗むという攻撃もあります。ただし、企業のWebサイトで特に何か販売なども行っていなければ、個人情報をWebサイトと同じサーバー内に残していることはほとんどないため、このリスクは限定的です。

どうやってハッキングされるのか

次は具体的に、どうやってハッキングされるのか、侵入を許してしまうのかを解説します。

1. サーバー関連の情報を盗まれる

これはWordPressに限らず、様々な方法があります。例えば、パソコン内に別経由でキーロガーが埋め込まれていて、サーバー情報が盗まれるケースなどです。これはWordPressが弱いわけではありませんが、サーバーの情報が盗まれてしまうと、それを使ってWordPressにアクセスされる可能性があります。

2. ログインID・パスワードを盗まれる

WordPressは管理画面に入るためにログインIDとパスワードを利用します。これらの情報が盗まれると、当然ながらハッキングされるリスクが高まります。これも、WordPressが悪いわけではなく、別経由で情報が漏れるケースが多いです。

3. テーマファイルの脆弱性

WordPressをスマホに例えると、テーマファイルは「着せ替え」のようなものです。Webサイトのデザインを切り替えることができます。このテーマファイルに何かコードを埋め込まれると、セキュリティ上の問題が発生する可能性があります。

4. プラグインの脆弱性

プラグインはスマホのアプリのようなもので、機能を追加するためのものです。このプラグイン内に何かコードを埋め込まれると、同様に問題が起きる可能性があります。

5. 本体（WordPress自体）の脆弱性

これは可能性としては低いですが、WordPressの本体自体にセキュリティの穴がある場合もあります。ただし、本体のアップデートは比較的迅速に行われるため、最新版に保っていれば大きな問題にはなりにくいです。

アップデートの重要性

上記で挙げた2〜5のすべてに該当するのが「アップデート」です。テーマファイル、プラグイン、本体それぞれのアップデートを怠ると、セキュリティ上の問題が発生する可能性が高まります。

Windowsなどのアップデートと同様に、古いファイルを新しくする理由は、発見された弱点を修正するためです。また、新機能の追加に伴い新たな脆弱性が発見された場合も、アップデートで修正されます。

プラグインとテーマファイルの選び方

スマホのアプリを例に考えると、メジャーなアプリ（XやFacebookなど）の開発元は知られていますが、マイナーなものほど開発元を確認せずにインストールしていることが多いのではないでしょうか。

WordPressのプラグインも同様で、誰が開発したか分からないものを安易に導入すると、リスクが高まります。最初は良いアプリのふりをしていても、多くのWebサイトに導入された後で悪意のあるコードに変わる可能性もあります。

テーマファイルも同じで、「オシャレになります」「SEOに強い」などと謳いながら、悪意のあるコードが仕込まれている可能性があります。

制作会社とクライアントの関係性

我々制作会社の立場からすると、お客様から「こういった機能をホームページに付けてほしい」と言われた際、実装方法には様々な選択肢があります。1から自社で開発する方法もあれば、既存の無料プラグインを使って機能を実装する方法もあります。

後者の方が圧倒的にコストが低いため、価格競争になると、無料プラグインを使う制作会社の方が安く済みます。しかし、そのプラグインが誰によって開発されたものか分からない場合、将来的なリスクを抱えることになります。

対策方法

以下のような対策を取ることで、WordPressのセキュリティリスクを大幅に減らすことができます：

1. 開発元が不明なテーマファイルは使わない（1から作るか、信頼できるテーマを使う）
2. プラグインも極力メジャーなもの、または信頼できる開発元のものを使う
3. それ以外のものを導入する場合は自社で1から開発する
4. 本体は小まめにアップデートする

このようにすれば、過剰にWordPressを恐れる必要はありません。

まとめ

以上、WordPressを含めたWebサイトがハッキングされるとどういった攻撃を受ける可能性があるのか、また特にWordPressに関して、どういった経路で攻撃を受ける可能性があるのかをお話しました。

これらはあくまで「主な」攻撃や経路であり、これ以外の特殊なケースも存在します。しかし、それはWordPressに限らず、インターネットを使う以上避けられない部分でもあります。便利さの裏返しとして、常にリスクは存在します。

WordPressが弱いと言われる主な理由と、それが起こる構造的な背景について理解していただければ、漠然と恐れるのではなく、具体的な対策を取ることができるはずです。

実際、このバランスは難しいもので、お客様としては安くホームページを実装したいという希望がある中で、プラグインの安全性をどう確保するかは制作会社としても悩ましい問題です。

ただ、WordPressが「セキュリティに弱い」という話を聞いて過剰に恐れすぎているのであれば、この記事が参考になれば幸いです。恐れる必要がないわけではありませんが、漠然と恐れる必要もないということをお伝えしたかったのです。

今後も具体的な情報があれば発信していきますので、ぜひチャンネル登録をお願いします。また、これから制作やリニューアルを考えている方は、こういった点も詳しく聞いた上で見積もりを取ることをおすすめします。お気軽にお問い合わせください。

ご覧いただきありがとうございました。