「サイトのファイルが全部暗号化されて、身代金を要求されてる…」
深夜2時過ぎ、スマホの通知音で叩き起こされた。表示されたメッセージに、一瞬で眠気が吹き飛んだ。声の主は、僕がWordPressサイトの構築を手伝った、カフェを経営している友人だった。彼の声は震えていて、事態の深刻さがひしひしと伝わってきた。彼のサイトは、ランサムウェア攻撃の被害に遭ったんだ。
「大丈夫、バックアップから戻せるから」
そう慰めながらも、僕の背中には冷たい汗が流れていた。もしバックアップがなかったら？もしバックアップも暗号化されていたら？彼のビジネスの顔であるサイトが、顧客リストや予約情報もろとも、永遠に失われていたかもしれない。あの時の絶望感と焦りは、今でも忘れられない。
こんにちは、WordPressサイトのセキュリティ対策に日々奮闘している筆者です。
「ランサムウェアなんて、大企業が狙われる話でしょ？」「うちみたいな小さなサイトは関係ないよ」
ぶっちゃけ、あなたもそう思ってない？数年前の僕も、そして被害に遭った友人も、そう高をくくっていた。でも、それは致命的な間違いなんだ。ランサムウェアは、サイトの規模なんてお構いなしに、無差別に襲いかかってくる「デジタルの災害」なんだよ。
この記事では、僕の友人の実体験を交えながら、なぜWordPressがランサムウェアの標的になるのか、そして、あなたの「城」である大切なサイトを、この卑劣な攻撃からどう守り抜くのか、具体的な方法を徹底的に解説していく。これは対岸の火事じゃない。明日は我が身かもしれない、という危機感を持って読み進めてほしい。
ランサムウェア攻撃とは？デジタル世界の人質事件
まず、ランサムウェアが何なのか、イメージを掴んでおこう。
ランサムウェア（Ransomware）は、「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語。その名の通り、PCやサーバーに保存されているファイルを勝手に暗号化して使えなくしてしまい、元に戻すことと引き換えに身代金を要求するマルウェア（悪意のあるソフトウェア）のことだ。
「お前のファイルは全て暗号化した。元に戻してほしければ、XX日以内にXXビットコインを支払え」
こんな脅迫文が、ある日突然あなたのサイトの画面に表示される。これがランサムウェアの正体だ。まるで、あなたの大切なデータを人質に取られたようなものだよね。
最近の主流は「二重脅迫」
さらにタチが悪いことに、最近のランサムウェアは「二重脅迫（ダブルエクストーション）」という手口が主流になっている。
- データを暗号化する（従来の手口）
- データを事前に盗み出し、「身代金を支払わなければ、この情報を公開する」と脅迫する
もしあなたのサイトが顧客情報や会員情報を持っていたらどうなる？情報漏洩という最悪の事態が加わり、被害は計り知れないものになる。金銭的な損失だけでなく、社会的信用も完全に失墜してしまうんだ。
実際、IPA（情報処理推進機構）が発表している「情報セキュリティ10大脅威」では、ランサムウェアによる被害が何年も連続で組織部門の第1位。もはや、他人事では済まされないレベルの脅威なんだよ。
なぜWordPressが狙われるのか？
「でも、なんでWordPressなの？」って思うよね。理由はシンプルだ。
WordPressは、世界のウェブサイトの43%以上で使われている、圧倒的なシェアNo.1のCMSだから。
攻撃者からすれば、たくさんの人が使っているということは、それだけ「カモ」を見つけやすいということ。脆弱性（セキュリティ上の欠陥）が一つ見つかれば、その脆弱性を抱えた何百万ものサイトを一網打尽にできる可能性があるんだ。
彼らは別に、あなたのサイトに個人的な恨みがあるわけじゃない。自動化されたプログラム（ボット）を使って、インターネット上を常にスキャンし、脆弱性のあるサイトを片っ端から探しているだけ。まるで、鍵のかかっていない家に手当たり次第侵入しようとする空き巣集団みたいなものだ。
主な侵入経路は、こんな感じだ。
- プラグインやテーマの脆弱性：これが最も多い。特に、更新が止まっているものや、非公式なルートで手に入れたものは危険。友人のサイトも、実は2年前に公式ディレクトリから削除された古いプラグインを使い続けていたことが原因だった。「動いてるから大丈夫」って思ってたんだよね。でも、その「動いている」プラグインの中に、攻撃者が侵入するための穴が空いていたわけだ。
- 弱いパスワード：推測されやすいパスワード（admin, password123など）を使っていると、総当たり攻撃（ブルートフォースアタック）ですぐに突破されてしまう。実は僕も昔、「cafe2023」みたいな安易なパスワードを使っていて、ログイン試行のアラートが鳴りまくった経験がある。マジで冷や汗ものだった。
- WordPress本体やPHPのバージョンが古い：古いバージョンには、既知の脆弱性が存在することが多い。サーバーのPHPバージョンが5.6とか、もう化石レベルのものを使っているサイトも意外と多い。これは「玄関のドアが木製で、ボロボロに朽ちている」ようなものだよ。
- VPN機器やリモートデスクトップの脆弱性：これはサーバー管理の領域だけど、WordPressサイトが動いているサーバー自体が乗っ取られるケースも多い。特に、リモートワークが増えた今、VPN経由での侵入が急増しているんだ。
「うちは大丈夫」なんて思っているサイトほど、実はセキュリティがガバガバだったりする。そして、そういうサイトが格好の餌食になるんだ。僕の知り合いのWebデザイナーも、「個人ブログだから狙われないでしょ」って油断していたら、ある日突然サイトが真っ白になって、ビットコインの支払い画面が表示されていた。彼は本気で泣いていたよ。
サイトを守るための7つの鉄壁防御策
じゃあ、どうすればランサムウェアからサイトを守れるのか？
セキュリティ対策に「これをやっておけば100%安全」という銀の弾丸はない。複数の対策を組み合わせる「多層防御」という考え方がめちゃくちゃ重要なんだ。ここでは、あなたのサイトを鉄壁の要塞にするための、7つの防御策を紹介する。
防御策1：常に最新の状態を保つ（城壁の補修）
基本中の基本だけど、これが一番大事。
- WordPress本体
- プラグイン
- テーマ
これらは、常に最新バージョンにアップデートすること。古いバージョンを使い続けるのは、城壁に穴が空いているのを放置しているのと同じだ。攻撃者はその穴から喜んで侵入してくる。
「でも、アップデートしたらサイトが壊れるかもしれないし…」
その気持ちは分かる。僕も昔は同じことを思っていた。でも、実際にサイトが乗っ取られて、復旧に何日もかかった経験をすると、その考えは一瞬で吹き飛ぶ。アップデートで一時的にレイアウトが崩れるリスクと、サイトが完全に使えなくなるリスク、どっちが重大か考えてみてほしい。アップデート前には必ずバックアップを取る習慣をつけておけば、万が一の時も安心だ。ちなみに、僕は毎週月曜日の朝をアップデートの日と決めている。ルーティン化すると、忘れないからね。
防御策2：認証を強化する（屈強な門番）
ログイン情報が盗まれたら、どんなに城壁が頑丈でも正面から堂々と入られてしまう。
- 強力なパスワードを使う：推測されにくい、長くて複雑なパスワードを設定しよう。パスワード管理ツールを使うのがおすすめだ。
- 二段階認証（2FA）を導入する：ID・パスワードに加えて、スマホアプリなどで生成されるワンタイムコードを入力する方式。これを導入するだけで、不正ログインのリスクを劇的に減らせる。セキュリティプラグインで簡単に追加できるから、絶対に導入しよう。
防御策3：不要なものは徹底的に削除する（城内の整理整頓）
「使ってないけど、いつか使うかもしれないから…」と、無効化しただけのプラグインやテーマを放置していない？それは、城の中に不要な物置を放置して、侵入者の隠れ場所を提供しているようなものだ。
無効化しているだけではダメ。
使っていないプラグインやテーマは、脆弱性の温床になるだけ。パフォーマンスも低下させるし、いいことは一つもない。定期的に見直して、不要なものは完全に削除しよう。ミニマリストの精神が、セキュリティを高めるんだ。
防御策4：セキュリティプラグインを導入する（優秀な見張り番）
WordPressには、サイトのセキュリティを強化してくれる優秀なプラグインがたくさんある。
- All In One WP Security & Firewall
- SiteGuard WP Plugin
- Wordfence Security
これらのプラグインは、ログインURLの変更、ログイン試行回数の制限、ファイルの改ざん検知、ファイアウォール機能など、様々な方法でサイトを守ってくれる。まさに、24時間365日サイトを見張ってくれる優秀な見張り番だ。必ず一つは導入しておこう。
防御策5：サーバーレベルの防御を意識する（強固な土台）
WordPressだけでなく、その土台であるサーバーのセキュリティも重要だ。
- WAF（Web Application Firewall）：サーバーの前段で不正なアクセスをブロックしてくれる盾のような存在。最近のレンタルサーバーでは、標準機能として提供されていることが多い。ConoHa WINGやエックスサーバーなら、無料で使えるから絶対に有効にしておこう。
- ファイルパーミッション（権限）の適切な設定：重要なファイル（wp-config.phpなど）を書き込み不可（例：400や444）に設定することで、改ざんのリスクを減らせる。
防御策6：バックアップこそが最強の切り札（最後の砦）
もし、これまでの防御策が全て突破されたら？
その時のために、最強の切り札であり、最後の砦となるのがバックアップだ。
ランサムウェアに感染してファイルが全て暗号化されても、クリーンな状態のバックアップさえあれば、サイトを復旧できる。逆に言えば、バックアップがなければ、全てを失うか、犯人に身代金を支払うかの二択を迫られることになる。
ここで重要なのが、「3-2-1ルール」だ。
- 3つのコピーを持つ（オリジナル＋2つのバックアップ）
- 2種類の異なるメディアに保存する（例：サーバー上と外付けHDD）
- 1つはオフサイト（物理的に離れた場所）に保管する
なぜここまでやるのか？ランサムウェアは、ネットワーク経由でアクセスできるバックアップファイルまで暗号化しようとするからだ。サーバー上のバックアップだけでは不十分。DropboxやGoogle Driveなどのクラウドストレージや、物理的に隔離された外付けHDDなど、複数の場所に分散して保管することが、あなたの命綱になる。
UpdraftPlusなどのプラグインを使えば、定期的に自動で外部ストレージにバックアップを保存できるから、必ず設定しておこう。そして、たまにでいいから、そのバックアップから本当に復旧できるかテストしてみることも忘れずに。
防御策7：人的要因を侮らない（城内の意識改革）
どんなにシステムを強化しても、それを使う人間が油断していたら意味がない。
- 不審なメールやリンクを開かない：攻撃者は、あなたを騙してマルウェアをインストールさせようと、巧妙なメールを送ってくる。
- 公共のWi-FiではVPNを使う：カフェなどの公共Wi-Fiは通信が暗号化されていないことが多い。重要な作業はしないか、VPNを使って通信を保護しよう。
結局のところ、セキュリティの最後の砦は、あなたの意識そのものなんだ。どんなに高性能なセキュリティソフトを入れても、「このメールは大丈夫だろう」って安易にリンクをクリックしてしまったら、全てが水の泡。僕の後輩も、Amazonを装ったフィッシングメールに引っかかって、パスワードを盗まれかけたことがある。幸い、二段階認証のおかげで被害は免れたけど、あれは本当に危なかった。
もし感染してしまったら？絶望する前にやるべきこと
万が一、ランサムウェアに感染してしまったら？パニックになる気持ちは分かる。でも、深呼吸して、冷静に行動しよう。
- ネットワークから隔離する：被害の拡大を防ぐため、感染したPCやサーバーをすぐにネットワークから切り離す。LANケーブルを抜く、Wi-Fiをオフにするなど、物理的に遮断しよう。
- 身代金は絶対に支払わない：警察庁も推奨している通り、身代金は絶対に支払ってはいけない。支払ってもデータが復旧される保証はどこにもないし、犯罪組織に資金提供することになり、次の犯罪を助長するだけだ。
- 専門機関に相談する：最寄りの警察のサイバー犯罪相談窓口や、IPAに連絡して指示を仰ごう。
- バックアップから復旧する：これが唯一の希望だ。クリーンであることが確認されているバックアップを使って、サイトを復旧しよう。この時、感染の原因となった脆弱性を特定し、対策を施してからでないと、また同じ攻撃を受けてしまうから注意が必要だ。
- 専門業者に依頼する：自分での復旧が難しい場合は、迷わずプロに頼ろう。原因の特定から、安全な状態での復旧まで、専門的な知識でサポートしてくれる。
よくある質問（FAQ）
Q1. 小さな個人ブログでも、本当に対策は必要？
A1. 絶対に必要だ。前述の通り、攻撃者はサイトの規模を見ていない。脆弱性があるかどうか、それだけだ。むしろ、セキュリティ意識が低い個人サイトの方が、格好の練習台や次の攻撃への踏み台として狙われやすいんだ。
Q2. セキュリティプラグインを入れておけば安心？
A2. 安心ではない。セキュリティプラグインは非常に有効だけど、それだけで万全とは言えない。アップデート、強力なパスワード、バックアップなど、この記事で紹介した多層防御を組み合わせることが重要だ。
Q3. バックアップはどれくらいの頻度で取ればいい？
A3. サイトの更新頻度によるけど、最低でも週に1回は取るべきだ。毎日記事を投稿するようなサイトなら、毎日バックアップを取るのが理想。自動バックアップを設定しておけば、手間もかからないよ。
Q4. 身代金を払ってしまったらどうなる？
A4. 払ってもデータが復旧される保証はない。それどころか、「この相手は金を払う」と認識され、さらなる攻撃の標的になるリスクが高まる。絶対に払ってはいけない。
Q5. レンタルサーバーのセキュリティだけでは不十分？
A5. 不十分だ。レンタルサーバーはインフラ部分のセキュリティは提供してくれるけど、WordPress自体の管理（アップデート、パスワード管理など）はサイト運営者の責任範囲だ。サーバーとアプリケーション、両方の対策が必要だよ。
セキュリティは面倒だけど、未来への投資だ
友人のサイトは、幸いにも1週間前に取っていたオフサイトのバックアップが無事だったため、数日間の格闘の末、なんとか復旧することができた。もしあのバックアップがなかったらと思うと、今でもゾッとする。
セキュリティ対策は、正直言って面倒だ。アップデート、パスワード管理、バックアップ…。でも、それを怠った結果失うものの大きさを考えれば、やらない理由はないはずだ。
この記事で紹介した7つの防御策は、あなたのサイトをランサムウェアの脅威から守るための羅針盤になるはずだ。今日から、いや、今すぐできることから始めてほしい。
面倒なセキュリティ対策は、未来の自分を、そしてあなたのサイトを訪れてくれるユーザーを、最悪の事態から守るための、最も確実な投資なんだから。
WordPressのセキュリティ、不安に思っていませんか？
「自分のサイトは大丈夫だろうか…」
「何から手をつければいいか分からない…」
もしあなたが少しでもそう感じているなら、専門家によるセキュリティ診断を受けてみることを強くお勧めします。
上記のサイトでは、WordPressのプロがあなたのサイトの脆弱性を無料で診断してくれます。問題が見つかれば、具体的な対策方法についてもアドバイスをもらえます。手遅れになる前に、一度プロの目でチェックしてもらい、安心を手に入れましょう。
