① なぜ中小企業ほど狙われるのか
攻撃者から見た中小企業のホームページは、「セキュリティが弱く、取引先の大企業への踏み台にできる」非常に効率的な標的です。
- サイト保守の予算がなく、CMS やプラグインが古いまま放置されている
- 情報システム担当者がおらず、管理者権限が無防備なまま
- 取引先・顧客の個人情報が格納されているケースも多い
- 改ざんされても気づくのが遅く、長期間放置されやすい
IPA(情報処理推進機構)のレポートでは、2024-2025 年にかけての Web サイト改ざん被害の6 割以上が従業員 100 名以下の企業で発生しています。「狙われない」のではなく、「狙われても気づかない」のが実態です。
② 最優先:今日中にやる 3 項目
ホームページの URL が http:// で始まっている場合、通信内容は暗号化されず、ブラウザに「保護されていない通信」の警告が表示されます。問い合わせフォームからの情報漏洩リスクに直結します。
ブラウザのアドレスバーに🔒マークがあるか確認。無い場合、使用中のレンタルサーバの管理画面から「無料 SSL(Let's Encrypt)」を有効化。所要時間 5〜 30 分。費用 0 円。
WordPress・ EC サイト・レンタルサーバの管理画面に、「admin」「社名を含むパスワード」などの弱いパスワードを使っていないか確認。使っていればすぐ変更+多要素認証(2FA)を有効化。
パスワードは 12 文字以上+記号・数字を含む。管理ツール(Bitwarden、1Password)で自動生成するのがベスト。2FA は WordPress なら「WP 2FA」プラグイン、他は Google Authenticator を利用。
改ざん被害からの復旧の鍵は「クリーンな状態のバックアップ」。レンタルサーバの自動バックアップが有効化されているか、保存期間は何日分かを確認。
エックスサーバー・さくらインターネット等の主要サーバは標準で自動バックアップ機能あり。管理画面で有効化を確認。WordPress なら「UpdraftPlus」で外部クラウドにも別途保存するのが安全。
③ 中優先:1 週間以内にやる 4 項目
WordPress サイトの改ざん被害の80% 以上がプラグインの脆弱性経由。古いプラグインを放置するのは、玄関の鍵を外しているのと同じです。
管理画面→「更新」から全て更新。使っていないプラグインは無効化ではなく削除(無効化だけではファイルが残り脆弱性が残る)。詳しくは WordPress の脆弱性問題 2026 を参照。
PHP 7.4、8.0、8.1 はすでにサポート終了。既知の脆弱性が放置されたままです。レンタルサーバの管理画面から確認・更新できます。
ステージング環境で動作確認してから本番更新を推奨。詳細は PHP 8.x サポートスケジュールと移行対応 を参照。
Cloudflare WAF なら無料プランで導入可能。SQL インジェクション、XSS、ブルートフォース攻撃など、既知の攻撃を自動ブロックします。
Cloudflare アカウント作成 → DNS 向け変更で導入。所要時間 1 時間、費用 0 円。詳しくは WAF 導入ガイド を参照。
WordPress のログイン URL が /wp-login.php のままだと、総当たり攻撃の格好の標的に。URL を変更するだけでアクセス試行の 90% 以上をブロックできます。
「WPS Hide Login」プラグインで URL 変更。さらに、社内 IP からのアクセスのみ許可する IP 制限を設定するとさらに強固に。
④ 継続的に:月次でやる 3 項目
Wordfence、Sucuri、Jetpack Scan 等の改ざん検知プラグインを導入。不審なファイル変更があった瞬間にメール通知してくれます。
月に 1 度、以下を目視チェック:公開ページに意図しないリンクや文章が追加されていないか、Google Search Console に「有害サイト」警告が出ていないか、サーバログに不審なアクセスがないか。
情報漏洩が発生した場合、個情法改正により72 時間以内の報告義務があります。社内連絡網・外部相談先・プレスリリース雛形を整備しておきます。
詳細は 情報漏洩が起きた時の 72 時間対応マニュアル を参照。
⑤ 費用相場まとめ
セキュリティ対策にかかる費用の目安を、ケース別に整理しました。
| 対策レベル | 月額費用 | 対応範囲 |
|---|---|---|
| 基本(自力対応) | 0 〜 1,000 円 | SSL ・ WAF 無料 ・ プラグイン更新 ・ バックアップ |
| 標準(ツール併用) | 3,000 〜 10,000 円 | Wordfence 有料版 ・ UpdraftPlus Premium ・ 2FA 導入 |
| プロ保守委託 | 15,000 〜 50,000 円 | 毎月更新代行 ・ 監視 ・ 診断 ・ インシデント対応 |
| セキュリティ診断(スポット) | 30,000 〜 300,000 円 | 専門業者による脆弱性診断、報告書作成 |
多くの中小企業は「基本〜標準」で十分です。保守運用に自信がなければ「プロ保守委託」を検討します。
⑥ セルフ診断チェックリスト
以下に 1 つでも「No」があれば、該当項目から着手を:
- □ サイト URL が https:// で始まり、ブラウザに🔒マークが表示される
- □ 管理画面のパスワードが 12 文字以上+ 2FA 有効化済み
- □ 自動バックアップが取得されており、復旧テスト済み
- □ WordPress 本体 ・プラグイン ・テーマが最新
- □ PHP バージョンが 8.3 以上
- □ WAF(Cloudflare 等)が導入されている
- □ 管理画面 URL が標準から変更されている
- □ 改ざん検知の自動監視が有効
- □ 月 1 回の目視チェックを実施している
- □ インシデント対応フローが文書化されている
まとめ
ホームページのセキュリティ対策は、「全部一度に」ではなく「優先度順」で着手するのが現実的です。
- 今日: SSL ・ 2FA ・ バックアップの 3 項目
- 1 週間: WordPress 更新 ・ PHP 更新 ・ WAF ・ 管理画面保護の 4 項目
- 月次: 監視 ・診断 ・インシデント対応フローの 3 項目
合同会社 SKY は、札幌・北海道の中小企業向けに、セキュリティ対策標準装備のホームページ制作・保守を提供しています。「自社サイトは今、本当に大丈夫?」のご不安に、無料診断からお応えします。
SKY が制作するホームページは、SSL ・ WAF ・自動バックアップ ・改ざん検知 ・ 2FAを標準装備。既存サイトのセキュリティ診断・保守切替もお気軽にご相談ください。