WEBサイトのセキュリティ対策｜中小企業が最低限やるべきこと

「うちは小さな会社だから、サイバー攻撃なんて関係ない」——そう思っていませんか。実は、中小企業のWEBサイトこそ攻撃者にとって格好のターゲットです。大企業と比べてセキュリティが手薄なケースが多く、「侵入しやすい入口」として狙われやすいのが現実です。この記事では、WEBやITに詳しくない経営者の方でも理解できるよう、中小企業が最低限やるべきセキュリティ対策をわかりやすく解説します。難しい専門用語はその都度かみ砕いて説明しますので、安心して読み進めてください。

なぜ中小企業のWEBサイトが狙われるのか

「うちは大丈夫」が一番危険な理由

サイバー攻撃と聞くと、大企業や官公庁が狙われるイメージがあるかもしれません。しかし、一般的に報告されているサイバー攻撃の被害件数のうち、相当数が中小企業に向けられていると言われています。攻撃者は「セキュリティが甘い企業」を自動ツールで無差別にスキャンしているため、会社の規模は関係ありません。鍵をかけていない家があれば、泥棒はそこから入る——WEBサイトのセキュリティもまったく同じ理屈です。

攻撃されるとどうなるか——被害の具体例

WEBサイトが攻撃を受けると、以下のような被害が発生する可能性があります。

• サイトの改ざん：御社のホームページに不正な広告やウイルス配布リンクが埋め込まれる
• 個人情報の流出：お問い合わせフォームから送信されたお客様の情報が漏洩する
• 踏み台攻撃：御社のサーバーが他のサイトへの攻撃に利用され、加害者にされてしまう
• 検索順位の下落：Googleがサイトを「危険」と判定し、検索結果から除外される

特にサイトの改ざんは、訪問者のパソコンにウイルスを感染させてしまう恐れがあり、御社の信用が大きく損なわれます。「知らなかった」では済まされないケースも少なくありません。

中小企業が狙われやすい3つの理由

中小企業が攻撃対象になりやすい理由は、大きく3つあります。

• セキュリティ専任者がいない：IT担当がいない、または兼任のため対策が後回しになりがちです
• 古いシステムの放置：WordPressやプラグインが何年も更新されないまま運用されているケースが多いです
• 予算が限られている：セキュリティに投資するという発想自体がないことも珍しくありません

攻撃者はこうした「隙」を知っており、自動化されたツールで世界中のWEBサイトを片っ端からチェックしています。御社のサイトも例外ではありません。

SSL（HTTPS）の導入——最優先で対応すべき基本対策

SSLとは何か

SSLを導入していないサイトは、ユーザーが入力した情報（名前、メールアドレス、電話番号など）が暗号化されずにインターネット上を流れます。これは、ハガキに個人情報を書いて送るようなもので、途中で誰かに読み取られるリスクがあります。一方、SSL対応されたサイトは「封筒に入れた手紙」のように内容が保護されます。

SSL未対応のリスク

SSL未対応のサイトには、以下のデメリットがあります。

• Google Chromeなどのブラウザで「保護されていない通信」と警告が表示される
• 訪問者が不安を感じ、すぐに離脱してしまう
• Googleの検索順位にも悪影響がある（GoogleはHTTPSを推奨）
• お問い合わせフォームの情報が盗聴されるリスクがある

現在では多くのレンタルサーバーが無料のSSL証明書を提供しています。まだ対応していない場合は、最優先で導入を進めてください。ご利用のサーバー会社やWEB制作会社に相談すれば、比較的簡単に対応できるケースがほとんどです。

WordPressの更新を怠らない——放置が生む脆弱性

WordPressが狙われやすい理由

WordPressは世界中のWEBサイトの約4割以上で使われていると言われています。利用者が多い分、攻撃者にとっても「攻撃方法を研究する価値がある」プラットフォームです。WordPressの本体やプラグイン（追加機能）、テーマ（デザインテンプレート）に脆弱性（セキュリティ上の弱点）が見つかると、その情報は世界中に公開されます。更新をせずに放置していると、公開された弱点を突かれて攻撃を受けるリスクが高まります。

更新すべき3つの要素

WordPressで定期的に更新すべき要素は以下の3つです。

• WordPress本体：セキュリティ修正を含むアップデートが定期的に配信されます
• プラグイン：追加機能ごとに開発元が異なり、それぞれ更新頻度が違います
• テーマ：デザインテンプレートにも脆弱性が見つかることがあります

更新作業に不安がある場合は、WEB制作会社の保守サービスを利用するのが安心です。自社で更新する場合は、必ず事前にバックアップを取ってから作業してください。まれに更新後にサイトの表示が崩れることがあるためです。

使っていないプラグインは削除する

「以前使っていたけど今は無効にしているプラグイン」はありませんか。無効化しただけではサーバー上にファイルが残っているため、脆弱性が悪用されるリスクがあります。使わないプラグインは無効化ではなく削除（アンインストール）するのが鉄則です。プラグインは必要最小限に絞り、信頼できる開発元のものだけを使いましょう。

パスワード管理——侵入を防ぐ「最初の鍵」

危険なパスワードの例

WordPressの管理画面にログインするためのパスワードは、サイトを守る「最初の鍵」です。以下のようなパスワードを使っていませんか。

• 会社名や電話番号をそのまま使っている（例：motive2024）
• 「password」「123456」など推測されやすい文字列
• 複数のサービスで同じパスワードを使い回している
• サイト公開時のパスワードをずっと変えていない

攻撃者は「ブルートフォース攻撃」（総当たり攻撃）と呼ばれる手法で、何万通りものパスワードを自動で試します。単純なパスワードは数分で突破されてしまうことがあります。

安全なパスワードのつくり方

安全なパスワードの条件は以下の通りです。

• 英大文字・小文字・数字・記号を組み合わせる
• 12文字以上にする（長いほど安全）
• 意味のある単語をそのまま使わない
• サービスごとに異なるパスワードを設定する

「そんなに複雑なパスワードは覚えられない」という方には、パスワード管理ツール（1PasswordやBitwardenなど）の利用をおすすめします。マスターパスワード1つだけ覚えれば、あとはツールが安全に管理してくれます。

管理者アカウントの見直し

WordPressの管理者アカウントについても見直しましょう。ユーザー名が「admin」のままになっていませんか。「admin」は攻撃者が最初に試すユーザー名です。管理者アカウントのユーザー名は推測されにくいものに変更してください。また、退職したスタッフのアカウントが残っている場合は速やかに削除しましょう。不要なアカウントは、それだけで侵入経路になり得ます。

バックアップ——万が一に備える「保険」

バックアップとは

バックアップとは、WEBサイトのデータの「控え（コピー）」を別の場所に保存しておくことです。火災保険のようなもので、何事もなければ使うことはありませんが、いざという時に御社のサイトを救ってくれます。サイトが改ざんされた場合やサーバー障害でデータが消失した場合でも、バックアップがあれば元の状態に復旧できます。

バックアップの頻度と方法

バックアップの頻度は、サイトの更新頻度によって異なります。

• ブログやお知らせを頻繁に更新する場合：毎日〜週1回
• あまり更新しない場合：月1回程度
• サイトの大幅な修正や更新の前：必ず手動でバックアップ

WordPressを使っている場合は、「UpdraftPlus」や「BackWPup」といった無料プラグインで自動バックアップを設定できます。バックアップの保存先は、WEBサイトと同じサーバーではなく、Googleドライブなどの外部ストレージに保存するのが安全です。同じサーバーに保存していると、サーバー障害時にバックアップごと失われてしまうためです。

その他の基本的なセキュリティ対策

ログイン画面のセキュリティ強化

WordPressの管理画面ログインURLは、初期設定では「/wp-admin/」や「/wp-login.php」になっています。これは攻撃者も当然知っているため、不正ログインの試行を受けやすくなります。対策として、以下の方法があります。

• ログインURLの変更：「SiteGuard WP Plugin」などのプラグインで管理画面のURLを変更できます
• ログイン試行回数の制限：一定回数パスワードを間違えるとロックする機能を有効にする
• 二段階認証の導入：パスワードに加えて、スマートフォンの認証アプリで確認する仕組みを導入する

WEB制作会社の保守サービスの活用

「自社だけでセキュリティ対策をすべてやるのは難しい」と感じた方も多いのではないでしょうか。それは正直な感想です。WEB制作会社の多くは、月額制の保守・管理サービスを提供しています。一般的な保守サービスには以下のような内容が含まれます。

• WordPress本体・プラグイン・テーマの定期更新
• 定期バックアップの取得と管理
• セキュリティ監視と異常時の対応
• SSL証明書の管理・更新
• サーバーの稼働監視

月額の費用はかかりますが、万が一の被害額や信用の失墜を考えると、十分に価値のある投資です。特にITの専任者がいない中小企業では、プロに任せることで本業に集中できるというメリットもあります。

セキュリティ診断を受けてみる

現在の御社のWEBサイトにどの程度のリスクがあるかを知るために、セキュリティ診断を受けてみるのもおすすめです。無料で簡易的な診断ができるオンラインツールもありますし、WEB制作会社に相談すればより詳しい診断を受けられます。まずは現状を把握することが、対策の第一歩です。

セキュリティ対策にかかるコストの考え方

対策しないことのコスト

セキュリティ対策にはお金がかかると思われがちですが、対策しないことで発生するコストの方がはるかに大きい場合があります。

• サイト復旧費用：改ざんされたサイトの復旧には、一般的に数万円〜数十万円の費用がかかります
• 売上の損失：サイトが停止している間、お問い合わせや受注の機会を失います
• 信用の失墜：「あの会社のサイトがウイルスに感染していた」という評判は、取り戻すのに長い時間がかかります
• 損害賠償：個人情報が流出した場合、法的責任を問われる可能性があります

まずは無料・低コストでできることから

セキュリティ対策は、すべてを一度にやる必要はありません。まずは費用をかけずにできることから始めましょう。

• SSL対応（多くのレンタルサーバーで無料）
• WordPress・プラグイン・テーマの更新（無料）
• 不要なプラグインの削除（無料）
• パスワードの見直し（無料）
• セキュリティプラグインの導入（無料のものもあり）

これらを実施するだけでも、リスクを大幅に下げることができます。その上で、保守サービスの利用や定期的なセキュリティ診断といった投資を検討していくのが現実的です。

まとめ

この記事では、中小企業のWEBサイトにおけるセキュリティ対策の基本を解説しました。最後に要点を振り返ります。

• 中小企業こそサイバー攻撃のターゲットになりやすい——「うちは大丈夫」は危険
• SSL（HTTPS）対応は最優先で実施すべき基本中の基本
• WordPress本体・プラグイン・テーマは常に最新の状態に保つ
• パスワードは12文字以上で複雑なものに設定し、使い回しをしない
• バックアップは外部ストレージに定期的に保存する
• ログイン画面のURL変更やログイン試行回数制限も効果的
• 自社で対応が難しい場合は、WEB制作会社の保守サービスの活用を検討する

セキュリティ対策は目に見える成果がわかりにくいため、つい後回しにしがちです。しかし、被害が出てからでは遅いのがセキュリティの怖さです。まずは今日できることから始めてみませんか。御社のWEBサイトのセキュリティ状況が気になる方は、どうぞお気軽にご相談ください。現状の診断から具体的な対策のご提案まで、わかりやすくサポートいたします。