「うちは小さいから狙われない」は間違い

IPA（情報処理推進機構）の調査によると、サイバー攻撃を受けた企業の約66%が従業員100人以下の中小企業です。攻撃者は企業の規模ではなく、セキュリティの「弱さ」を狙います。

被害に遭った中小企業の平均損害額は約2,400万円。サイト改ざんによる信頼失墜、顧客情報流出による損害賠償、業務停止による機会損失など、一度の攻撃で廃業に追い込まれるケースすらあります。対策コストは被害額の数十分の1です。

知っておくべき5つの攻撃手法

攻撃手法概要主な被害対策
SQLインジェクション入力フォームから不正なSQL文を送信データベースの情報漏洩・改ざん入力値のサニタイズ・WAF導入
XSS（クロスサイトスクリプティング）悪意あるスクリプトをページに埋め込むCookie窃取・フィッシング誘導出力エスケープ・CSP設定
ブルートフォース攻撃パスワードを総当たりで試行管理画面への不正アクセス強固なパスワード・二段階認証
DDoS攻撃大量アクセスでサーバーをダウンさせるサイト停止・売上損失CDN・WAFの導入
マルウェア埋め込みサイトに不正コードを仕込む訪問者への感染拡大・Google警告表示定期スキャン・ファイル監視

最低限やるべき7つの対策

1. SSL（HTTPS）対応

サイト全体をHTTPS化します。GoogleはHTTPS未対応サイトに「保護されていない通信」と警告を表示し、検索順位にもマイナス影響を与えます。レンタルサーバーの無料SSL（Let's Encrypt）で十分対応可能です。費用は実質0円。設定も多くのサーバーでワンクリックです。

2. CMSとプラグインの即時更新

WordPressサイトへの攻撃の約56%がプラグインの脆弱性を突いたものです。本体・テーマ・プラグインは更新通知が出たら48時間以内に適用しましょう。自動更新機能の有効化も推奨します。

3. 定期的なバックアップ

週1回以上、データベースとファイルのバックアップをサーバーとは別の場所に保存します。バックアップ先もサーバー内だけでは、サーバーごと被害を受けた場合に意味がありません。クラウドストレージへの自動バックアップがベストです。

4. 管理画面のパスワード強化

「admin」「password123」は数秒で突破されます。16文字以上の英数記号混合パスワードを設定し、二段階認証（2FA）も必ず有効にしましょう。管理画面のURL変更（/wp-admin → 独自パス）も有効な対策です。

5. WAF（Web Application Firewall）の導入

WAFはWebアプリケーションへの不正なリクエストを自動的にブロックする防御壁です。SQLインジェクションやXSSの約90%を自動遮断できます。多くのレンタルサーバーで無料WAFが提供されています。

WAFの種類費用特徴
サーバー付属WAF無料エックスサーバー、ConoHa等で標準提供
クラウド型WAF月額1〜5万円攻撃界WAF、SiteGuardなど。高精度な検知
CDN一体型月額0〜数万円Cloudflare等。DDoS対策も兼ねる

6. 不要なプラグイン・ファイルの削除

使っていないプラグインやテーマは「無効化」ではなく「削除」してください。無効化状態でもファイルはサーバーに残り、脆弱性を突かれる可能性があります。使用中のプラグインも本当に必要なものだけに絞りましょう。

7. ファイル改ざん検知の設定

サーバー上のファイルが不正に変更されたら即座に通知を受ける仕組みを導入します。WordPressなら「Wordfence」や「SiteGuard WP Plugin」（無料）で対応可能です。

セキュリティチェックリスト

以下の項目を月1回確認しましょう。

  • SSL証明書の有効期限は切れていないか
  • WordPress本体・テーマ・プラグインは最新バージョンか
  • 不要なプラグイン・テーマは削除済みか
  • 管理者パスワードは16文字以上で二段階認証が有効か
  • バックアップは正常に取得・保存されているか
  • WAFは有効になっているか
  • Googleサーチコンソールに「セキュリティの問題」の通知がないか
  • アクセスログに不審な大量アクセスがないか

万が一の際のインシデント対応手順

攻撃を受けた場合、初動の速さが被害の大きさを決めます。以下の手順をあらかじめ社内で共有しておきましょう。

  1. サイトの一時停止：メンテナンスモードに切り替え、被害の拡大を防ぐ
  2. 状況の記録：改ざん箇所のスクリーンショット、アクセスログの保全を行う
  3. バックアップからの復旧：攻撃前の最新バックアップでサイトを復元
  4. 脆弱性の特定と修正：侵入経路を特定し、パスワード変更・プラグイン更新・WAF設定見直しを実施
  5. 関係者への報告：個人情報漏洩が疑われる場合は、個人情報保護委員会への報告義務あり（72時間以内）

KANADE WEBのセキュリティ対応

KANADE WEBではすべてのサイトにSSL対応を標準装備しています。静的サイト構成（WordPress不使用）のため、CMS起因の脆弱性リスクがそもそも極めて低いのが特徴です。

保守プランでは定期バックアップ、セキュリティ監視、ファイル改ざん検知にも対応。月額5,000円〜で安心のセキュリティ体制を維持できます。