「なぜウチのサイトが？」という素朴な疑問
あるクライアントのサイトがハッキングされて、復旧作業をしていたときのことだ。クライアントから「でも、ウチは小さな会社だし、何も盗まれるようなものはないのに、なんで攻撃されたんですか？」と聞かれた。
実は、これは本当によく聞かれる質問なんだ。多くの人が「ハッカーは大企業や政府機関を狙うもので、自分の小さなサイトなんて興味ないだろう」と思っている。
でも現実は違う。そのクライアントのサイトは、スパムメール配信の踏み台にされていた。攻撃者は、サイトの顧客情報や売上データには興味がなかった。彼らが欲しかったのは、「インターネットに接続されたサーバー」というリソースだったんだ。
攻撃者の目的は、あなたが思っているより多様で、意外と身近なものかもしれない。
この記事では、攻撃者がWordPressサイトをハッキングする目的と動機について、実際の事例を交えながら解説する。敵を知ることは、防御の第一歩だ。彼らが何を狙っているのか理解すれば、適切な対策も見えてくるはずだよね。
攻撃者は誰で、なぜ攻撃するのか
ハッカーの種類と分類
まず、「ハッカー」と一口に言っても、実は色々なタイプがいる。映画に出てくるような天才クラッカーもいれば、ツールを使って機械的に攻撃するスクリプトキディーもいる。
スクリプトキディー（Script Kiddie）：
自分でツールを開発する技術はないけど、既存の攻撃ツールを使って攻撃する初心者ハッカーだ。彼らは数が多くて、無差別に攻撃する。WordPressサイトの多くは、このタイプの攻撃を受けている。
ボットネット運営者：
自動化された攻撃ツール（ボット）を使って、大量のサイトを同時に攻撃する。彼らの目的は、できるだけ多くのサイトを乗っ取ることだ。効率重視だから、セキュリティの甘いサイトから順番に狙われる。
組織的犯罪グループ：
金銭目的で活動する犯罪組織だ。ランサムウェア、クレジットカード情報の窃取、フィッシングサイトの構築など、利益が見込める攻撃を組織的に行う。
国家支援型ハッカー：
政府や諜報機関に支援されたハッカーだ。情報収集やサイバー攻撃が目的で、特定の組織や国を標的にする。普通の企業サイトが直接狙われることは少ないけど、踏み台として利用されることはある。
ハクティビスト：
政治的・社会的なメッセージを伝えるために攻撃する活動家だ。特定の企業や団体のサイトを改ざんしたり、DDoS攻撃を仕掛けたりする。
なぜWordPressが狙われるのか
WordPressは世界中のウェブサイトの43%以上で使われている。つまり、攻撃者にとっては「効率がいいターゲット」なんだ。
一つの脆弱性を見つければ、何千、何万ものサイトに同じ攻撃を仕掛けられる。しかも、WordPressはオープンソースだから、コードを誰でも読める。脆弱性を探すのも比較的簡単なんだよね。
さらに、プラグインやテーマのエコシステムが大きいことも、攻撃者には好都合だ。何万ものプラグインが存在して、その中には更新が止まっていたり、セキュリティが甘かったりするものもある。
攻撃の主な目的：金銭的利益
クレジットカード情報の窃取
ECサイトやWooCommerceを使っているサイトは、クレジットカード情報を狙われる。攻撃者は、決済フォームに不正なコードを仕込んで、入力されたカード情報を盗み取るんだ。
盗まれたカード情報は、ダークウェブで売買される。1枚あたり5ドルから50ドルくらいの値段で取引されている。攻撃者は、何百、何千ものサイトから情報を集めて、それをまとめて売りさばく。
僕が見た事例では、数ヶ月間も気づかれずに情報が盗まれ続けていた。サイトオーナーは、顧客から「身に覚えのない請求がある」というクレームが来て初めて、問題に気づいたんだ。
ランサムウェア攻撃
最近増えているのが、ランサムウェア攻撃だ。攻撃者はサイトのファイルやデータベースを暗号化して、復号するための身代金を要求する。
WordPressサイトの場合、バックアップが取られていないケースが多い。だから、身代金を払わざるを得ない状況に追い込まれることもあるんだ。
身代金の額は、サイトの規模によって変わる。小規模なサイトなら数万円、企業サイトなら数百万円を要求されることもある。ビットコインなどの暗号通貨での支払いを求められるのが一般的だよね。
暗号通貨のマイニング
サイトを乗っ取って、暗号通貨（ビットコインやモネロなど）のマイニングに利用する攻撃も増えている。
攻撃者は、サイトに不正なスクリプトを埋め込む。サイトを訪れたユーザーのCPUやGPUを使って、自動的にマイニングが実行されるんだ。これは「クリプトジャッキング」と呼ばれる手法だ。
サイトオーナーは、サーバーの負荷が異常に高くなったり、訪問者から「サイトが重い」と苦情が来たりして初めて気づく。でも、その間も攻撃者は利益を得続けている。
アフィリエイト詐欺
サイトに不正なアフィリエイトリンクを仕込む攻撃もある。攻撃者は、サイトのコンテンツに自分のアフィリエイトIDを含んだリンクを追加する。
訪問者がそのリンクをクリックして商品を購入すると、攻撃者に報酬が入る仕組みだ。大量のサイトに同じ手口を仕掛ければ、かなりの収入になるんだよね。
特に、トラフィックの多いサイトは狙われやすい。月に数万人、数十万人が訪れるサイトなら、それだけ収益の機会も増えるからだ。
攻撃の目的：リソースの悪用
スパムメール配信の踏み台
これは、冒頭で紹介した事例だ。攻撃者は、サイトのメール送信機能を悪用して、大量のスパムメールを配信する。
なぜ自分のサーバーを使わずに、他人のサイトを踏み台にするのか？それは、自分のIPアドレスやドメインがブラックリストに登録されるのを避けるためだ。
乗っ取られたサイトからスパムが送信されると、そのサイトのIPアドレスやドメインがブラックリストに登録される。サイトオーナーは、正規のメールさえ送れなくなってしまうんだ。
DDoS攻撃の踏み台
DDoS（Distributed Denial of Service）攻撃は、大量のアクセスを送りつけてサーバーをダウンさせる攻撃だ。攻撃者は、乗っ取った複数のサイトを使って、標的のサイトに同時にアクセスする。
これを「ボットネット」と呼ぶ。あなたのサイトが、知らないうちにボットネットの一部になっている可能性もあるんだ。
攻撃者にとって、DDoS攻撃は「サービス」として販売できる。競合他社のサイトをダウンさせたい人、オンラインゲームのサーバーを落としたい人など、需要は意外とある。
フィッシングサイトのホスティング
攻撃者は、乗っ取ったサイトにフィッシングページを作成する。銀行やクレジットカード会社、オンラインサービスのログインページを偽装したページだ。
なぜ自分でサーバーを借りないのか？それは、フィッシングサイトはすぐに発見されて閉鎖されるからだ。でも、他人のサイトに紛れ込ませれば、発見されるまでの時間を稼げる。
しかも、信頼されているドメイン名の一部にフィッシングページがあると、ユーザーは騙されやすい。example.com/wp-includes/update/login.phpみたいなURLなら、一見正規のページに見えるからね。
SEOスパム（検索エンジンスパム）
サイトに大量のリンクやキーワードを仕込んで、攻撃者が運営する別のサイトの検索順位を上げる手法だ。
よくあるのは、フッターやサイドバーに見えにくい色のテキストで大量のリンクを追加する方法だ。あるいは、数千ページの自動生成されたスパムページを作成することもある。
サイトオーナーは、「検索結果に変なページが表示される」「Googleから警告が来た」といった形で気づく。でも、その間もサイトの評価は下がり続けているんだ。
攻撃の目的：情報収集とスパイ活動
顧客情報の窃取
メールアドレス、氏名、住所、電話番号といった個人情報は、攻撃者にとって価値がある。これらの情報は、スパムメールの送信先リスト、フィッシング攻撃のターゲットリスト、あるいは他の犯罪に利用される。
ECサイトやメンバーシップサイトは、大量の顧客情報を持っている。これらのサイトを狙えば、一度に何千、何万という個人情報を入手できるんだ。
情報はダークウェブで売買される。メールアドレスリストは1件あたり数セントから数ドル。クレジットカード情報を含む完全なプロファイルなら、もっと高値で取引される。
企業秘密の窃取
企業サイトやイントラネットに侵入して、機密情報を盗み出す攻撃もある。新製品の情報、財務データ、顧客リスト、技術資料など、企業の競争力に関わる情報が狙われるんだ。
これは産業スパイ行為で、競合他社や外国政府が関与していることもある。WordPressサイトが侵入の足がかりになり、そこから内部ネットワークに侵入される場合もあるんだよね。
アクセスログの収集
サイトのアクセスログから、訪問者の行動パターンや興味・関心を分析する。これは、ターゲット広告や、より効果的なフィッシング攻撃のために使われる。
特に、ログインページへのアクセスや、失敗したログイン試行の記録は価値がある。これらの情報から、どのユーザー名が実在するか、どのパスワードが試されているかが分かるんだ。
攻撃の目的：破壊行為と嫌がらせ
サイトの改ざん（デフェイス）
政治的メッセージや、ハッカーグループの名前を表示するためにサイトを改ざんする攻撃だ。これは「デフェイス（Defacement）」と呼ばれる。
攻撃者の動機は様々だ。政治的な主張を広めたい、ハッカーとしての実績を誇示したい、特定の企業や団体に恥をかかせたい、など。金銭的な利益は目的じゃなくて、「やった」という満足感が報酬なんだよね。
実際、デフェイスされたサイトのリストを公開しているウェブサイトもある。攻撃者にとっては、これが一種の「実績」になるわけだ。
データの破壊
サイトのデータベースやファイルを完全に削除してしまう攻撃もある。これは、最も悪質な攻撃の一つだ。
動機は、競合他社への嫌がらせ、元従業員による報復、あるいは単なる愉快犯などだ。ランサムウェアと違って、身代金を要求することもなく、ただ破壊するだけ。
バックアップがなければ、サイトは完全に失われる。何年もかけて作り上げたコンテンツ、顧客データ、すべてが一瞬で消えてしまうんだ。
競合サイトへの攻撃
競合他社のサイトを攻撃して、ビジネスを妨害する。これは不正競争行為で、法的には重大な犯罪だ。
でも、攻撃の痕跡を残さない方法もある。例えば、DDoS攻撃の踏み台として別のサイトを使えば、直接的な証拠は残らない。あるいは、ダークウェブで攻撃を依頼すれば、自分の手を汚さずに済む。
競合サイトがダウンすれば、その間に顧客を奪える。ECサイトなら、売上の機会損失にも繋がる。攻撃者にとっては、費用対効果の高い「投資」になるわけだ。
個人的な恨みや復讐
元従業員、元取引先、クレーマー、あるいは個人的な恨みを持つ人による攻撃もある。
これらの攻撃は、特定の個人や企業をターゲットにしている。金銭的な利益は目的じゃなくて、相手に損害を与えることそのものが目的だ。
攻撃の手口は様々だけど、内部情報を知っている分、外部からの攻撃より成功率が高いことが多い。管理者のパスワードを知っている、サーバーの設定を知っている、といった有利な立場にあるからね。
攻撃のコストとリターン
攻撃は「ビジネス」として成立している
多くの人が誤解しているけど、サイバー攻撃は今や立派な「ビジネス」なんだ。攻撃者は、投資対効果を計算して、利益が見込めるターゲットを選んでいる。
攻撃ツールは、ダークウェブで簡単に購入できる。ブルートフォース攻撃ツール、SQLインジェクションツール、マルウェア、ランサムウェア。値段は数ドルから数百ドル程度だ。
しかも、「攻撃代行サービス」もある。ターゲットのURLと料金を払えば、プロのハッカーが攻撃してくれる。DDoS攻撃なら1時間10ドルから、サイトの乗っ取りなら100ドルから、といった具合だ。
攻撃の成功率と利益率
セキュリティが甘いサイトは、攻撃の成功率が高い。古いバージョンのWordPress、更新されていないプラグイン、弱いパスワード。こういったサイトは、自動化されたツールで簡単に侵入できる。
攻撃者は、一つのサイトに何時間もかけたりしない。数分から数十分で侵入できなければ、次のターゲットに移る。だから、基本的なセキュリティ対策をしているだけでも、攻撃者にとっては「割に合わないターゲット」になるんだ。
利益面では、ランサムウェア攻撃が最も効率的だと言われている。一回の攻撃で数万円から数百万円の身代金を得られる可能性がある。マイニングやスパム配信は、地道に稼ぐタイプの攻撃だよね。
あなたのサイトが狙われる確率
「ウチは小さいサイトだから大丈夫」と思っているなら、それは危険だ。攻撃の多くは自動化されていて、サイトの規模に関係なく、脆弱性があるサイトすべてが標的になる。
実際、僕が管理しているサーバーのログを見ると、毎日何百、何千ものログイン試行がある。これらはボットによる自動攻撃で、WordPressサイトを見つけたら片っ端から攻撃を試みているんだ。
あなたのサイトも、今この瞬間にも攻撃を受けているかもしれない。ただ、セキュリティ対策が機能していて、攻撃が成功していないだけなんだよね。
どう防ぐか：攻撃者の視点から考える
攻撃者の目的と動機を理解したところで、じゃあどう防げばいいのか。重要なのは、「攻撃者にとって魅力的でないターゲットになる」ことだ。
コストを上げる
攻撃者は効率を重視する。だから、侵入に時間とリソースがかかるサイトは避ける傾向がある。
基本的なセキュリティ対策（WordPressの更新、強固なパスワード、二要素認証、ファイアウォール）をしておくだけでも、多くの自動化された攻撃を防げる。
攻撃者にとって「このサイトは手間がかかりそうだ」と思わせることが大事なんだ。
価値を下げる
攻撃者が欲しいリソース（顧客情報、サーバーの処理能力、メール送信機能など）へのアクセスを制限する。
例えば、クレジットカード情報は自サーバーに保存せず、決済代行サービスを使う。メール送信は、送信数制限を設けて、大量のスパムを送れないようにする。
攻撃者にとって「このサイトを乗っ取っても大した利益が得られない」と思わせる工夫が効果的だ。
検知を早める
攻撃が成功しても、早期に検知して対処すれば、被害を最小限に抑えられる。
ログの監視、ファイル整合性チェック、異常なトラフィックの検知。これらの仕組みを導入しておけば、攻撃者が長期間潜伏することを防げる。
攻撃者にとって「すぐにバレて対処されるサイト」は、リスクが高くて魅力的じゃないんだよね。
よくある質問（FAQ）
Q1: 小規模なサイトでも本当に狙われるんですか？
はい、規模に関係なく狙われる。むしろ、小規模サイトの方がセキュリティが甘いことが多いから、攻撃の成功率が高いとも言える。
攻撃の多くは自動化されていて、脆弱性があるサイトを見つけたら片っ端から攻撃する。サイトの規模や業種は関係ない。「セキュリティの甘いサイト」が標的なんだ。
Q2: 攻撃者は本当に利益を得ているんですか？
はい、サイバー犯罪は巨大な地下経済を形成している。市場規模は年間数兆円とも言われている。
ランサムウェア、情報窃取、マイニング、スパム配信、フィッシング。これらすべてが、攻撃者にとっては「稼げるビジネス」なんだ。だからこそ、攻撃は減らないし、むしろ増え続けている。
Q3: 攻撃されたらどうすればいいですか？
まず、サイトをオフラインにして、被害の拡大を防ぐ。次に、ログを確認して、どんな攻撃を受けたか、何が盗まれたか、調査する。
バックアップから復旧するのが最も確実だけど、バックアップがない場合は、専門家に相談した方がいい。自力で対処しようとして、状況を悪化させることもあるからね。
そして、復旧後は必ずセキュリティ対策を強化すること。同じ手口で再び攻撃される可能性が高いんだ。
Q4: 攻撃者を特定して訴えることはできますか？
技術的には可能だけど、実際には非常に難しい。攻撃者は、VPNやTor、踏み台サーバーなどを使って、自分の本当の所在地を隠している。
仮に特定できても、海外にいる場合は法的措置が困難だ。費用と時間を考えると、個人や中小企業が訴訟を起こすのは現実的じゃないことが多い。
だから、「予防」が最も重要なんだ。攻撃されてから対処するより、攻撃される前に防ぐ方が、コストも労力もずっと少なくて済む。
Q5: セキュリティ対策に完璧はありますか？
残念ながら、完璧なセキュリティは存在しない。どんなに対策を施しても、新しい脆弱性は日々発見されるし、攻撃手法も進化し続ける。
でも、「完璧じゃないから無意味」ということじゃない。基本的な対策をしているだけでも、攻撃の成功率は大幅に下がる。
セキュリティは、「100%安全」を目指すものじゃなくて、「攻撃者にとって割に合わないターゲット」になることを目指すものなんだ。
まとめ：敵を知り、己を知れば百戦危うからず
攻撃者は、あなたが思っているより身近な存在だ。彼らは高度な技術を持ったスーパーハッカーじゃなくて、ツールを使って効率的に利益を得ようとしている「ビジネスパーソン」なんだよね。
この記事のポイントをおさらいしよう：
- 攻撃者の目的は多様：金銭、リソース、情報、破壊行為
- サイトの規模に関係なく、すべてのサイトが標的になり得る
- 攻撃は「ビジネス」として成立していて、投資対効果を計算している
- 基本的なセキュリティ対策で、多くの攻撃は防げる
- 「攻撃者にとって割に合わないターゲット」になることが重要
攻撃者の視点を理解すれば、効果的なセキュリティ対策が見えてくる。彼らが何を狙っているのか、どうやって侵入しようとしているのか、それを知ることが防御の第一歩だ。
あなたのサイトは、今この瞬間も攻撃を受けているかもしれない。でも、適切な対策を施していれば、それらの攻撃は失敗に終わる。攻撃者は、あなたのサイトを諦めて、次のターゲットに移っていくんだ。
サイバーセキュリティは、終わりのない戦いだ。でも、敵を知り、適切な防御を固めていれば、あなたのサイトは守られる。今すぐセキュリティ対策を見直して、攻撃者にとって「魅力のないターゲット」になろう。
WordPressのセキュリティ、不安に思っていませんか？
「自分のサイトは大丈夫だろうか…」
「何から手をつければいいか分からない…」
もしあなたが少しでもそう感じているなら、専門家によるセキュリティ診断を受けてみることを強くお勧めします。
上記のサイトでは、WordPressのプロがあなたのサイトの脆弱性を無料で診断してくれます。問題が見つかれば、具体的な対策方法についてもアドバイスをもらえます。手遅れになる前に、一度プロの目でチェックしてもらい、安心を手に入れましょう。