平素より弊社Webサイト管理サービスをご利用いただき、誠にありがとうございます。
このたび、弊社で管理・運用を行っているWordPressサイトについて、今後のセキュリティ対策方針を一部強化することといたしましたので、ご案内申し上げます。
■ 最近のサイバー攻撃を取り巻く状況について
ここ数ヶ月、国内でも企業・団体が運営するWebサービスへの不正アクセスや、個人情報・機密情報の漏えい被害が相次いで確認されています。
また近年、生成AIやAIエージェント等の技術が急速に進歩したことで、Webサイトやソフトウェアの脆弱性の探索、攻撃対象の調査、攻撃手法の生成・改変などを、従来より短時間かつ大量に行うことが可能になりつつあります。
これまでサイバー攻撃には一定以上の専門知識や時間が必要でしたが、AIによる自動化・効率化によって、攻撃者側の技術的なハードルも低下しています。
その結果、特定の企業を狙った攻撃だけでなく、インターネット上に公開されているWebサイトを機械的に探索し、脆弱性が見つかったサイトへ無差別に侵入を試みる攻撃についても、今後さらに増加することが予想されます。
WordPressは世界中で広く利用されているシステムであるため、WordPress本体だけでなく、テーマやプラグインの脆弱性を狙った自動攻撃の対象にもなりやすい性質があります。
■ 従来の対策だけでは十分でない可能性があります
これまでも弊社では、
・WordPress本体の更新
・プラグイン、テーマの更新
・セキュリティソフトによる監視
・バックアップ
・SSL化
・不正ログイン対策
などを中心に、Webサイトの安全性確保に努めてまいりました。
しかし現在は、「最新版に更新しておけば安全」というだけでは十分とは言えない状況になっています。
例えば、
・過去の脆弱性を利用して既に設置された不正ファイル
・更新されずに残っている古いプラグインやテーマ
・使用していない開発用・テスト用WordPress
・公開領域に残されたバックアップファイル
・不要になった管理者アカウント
・推測や漏えいによって取得されたログイン情報
・サーバー内の別サイトを経由した侵入
・プラグイン更新によって新たに発生する互換性問題
など、従来より広い範囲を確認する必要があります。
また、セキュリティ強化を目的としたアップデートそのものによって、古いPHP環境や独自カスタマイズとの互換性が失われ、問い合わせフォーム等が正常に動作しなくなるケースも確認されています。
そのため今後は、「更新すること」と「正常に動作していること」の双方を確認する運用が重要になります。
■ 今後の弊社の管理方針について
弊社では今後、WordPressサイトの管理について、従来のアップデート中心の保守から、より安全性を重視した運用へ順次移行してまいります。
具体的には、必要に応じて以下の項目を確認・実施します。
・WordPress本体、テーマ、プラグインの更新状況確認
・PHP等サーバー環境の確認
・既知の脆弱性情報の確認
・不審なファイルや改変の確認
・管理者アカウント、権限の確認
・不要なプラグイン、テーマ、旧サイト等の確認
・バックアップファイルの保存・公開状態の確認
・ログイン・アクセス状況の確認
・問い合わせフォーム等主要機能の動作確認
・バックアップおよび復旧手段の確認
・必要に応じたパスワード変更や追加認証の導入
サイトの構成やご契約いただいている保守内容によって、実施できる範囲は異なります。
また、サイトの経過年数やPHP・WordPressのバージョン、使用しているプラグイン等によっては、通常の保守作業だけでは対応できず、別途改修やサーバー環境の更新をご提案する場合がございます。
■ 「完全に安全」を保証するものではありません
インターネットに公開されているWebサイトについて、サイバー攻撃を100％防ぐことは残念ながらできません。
弊社としても「絶対に侵入されないサイト」を保証するものではありませんが、
・侵入される可能性をできるだけ低くする
・異常を早期に発見する
・万一の場合に復旧できる状態を維持する
という3点を重視し、継続的に安全性を高めてまいります。
サイバー攻撃の手法や環境は急速に変化しているため、Webサイトについても「制作した時点の安全性」を維持するのではなく、その時々の脅威に合わせて対策方法を更新していく必要があると考えております。
お客様におかれましても、こうした環境変化についてご理解いただけますと幸いです。
今後、各Webサイトの状況を確認したうえで、追加の対策や改修が必要と判断される場合には、個別にご案内させていただきます。
引き続き、安全で安定したWebサイト運用に努めてまいりますので、何卒よろしくお願い申し上げます。
有限会社BCOOL