2026年の秋、企業による個人情報の漏えいの公表が相次いでいます。
会員情報、採用応募者の情報、本人確認書類。数十人分から数百万件まで、業種も規模もさまざまです。
原因は、外部からの不正アクセスだけではありません。
メールの誤送信や、システムの設定の不備によるものも含まれています。
こうしたニュースを見て「うちは大企業ではないから関係ない」と感じる経営者の方も多いと思います。
しかし、お問い合わせフォームがあるだけで、Webサイトは個人情報を預かる場所になります。
この記事では、Web制作会社として実際にお客様のWordPressを作り直した経験をもとに、セキュリティに強いWordPressの条件と、発注する側が確認すべきことをまとめます。
はじめに、いちばんお伝えしたいことを書きます。
Webサイトから情報が漏れたとき、お客様や取引先に説明し、謝罪し、対応するのはサイトを運営している会社です。
制作を外部に任せていても、それは変わりません。
個人情報保護法では、2022年4月から一定の漏えいが起きたときに個人情報保護委員会への報告と、本人への通知が義務になりました。
対象になるのは、たとえば次のような場合です。
| 報告・通知が必要になる主な場合 | 例 |
|---|---|
| 不正アクセスなど、不正の目的によるおそれがある | サイトへの侵入で会員情報が抜き取られた |
| 財産的な被害が生じるおそれがある | クレジットカード情報が漏れた |
| 要配慮個人情報が含まれる | 病歴などの情報が漏れた |
| 1,000人を超える | メールアドレスの一覧が漏れた |
つまり、小さな会社のサイトでも、不正アクセスで1件漏れれば報告の対象になり得ます。
制作会社との契約で責任の分担を決めていても、世間から見て矢面に立つのは運営者です。
※法律の適用は個別の状況によって異なります。
具体的な判断は、弁護士や個人情報保護委員会の窓口にご確認ください。
WordPressは、世界のWebサイトの4割以上で使われているとされる仕組みです。手軽で便利な反面、次の理由から攻撃の的になりやすい面があります。
攻撃する側から見ると、WordPressの弱点を1つ見つければ、世界中の多くのサイトに同じ手口が使えます。
狙われるのは、サイトの規模ではなく、仕組みの数です。
WordPressは、プラグインで機能を足していける仕組みです。
その一つひとつは別の作者が作っており、品質も更新の頻度もまちまちです。
1つでも欠陥のあるプラグインが入っていれば、そこが入口になります。
当社が実際に、サーバー会社の簡単インストールで入れた直後のWordPressを調べたところ、次の状態でした。
| 見つかったこと | 何が起こり得るか |
|---|---|
| データベースのパスワードが入った設定ファイルが、公開フォルダの中にある | サーバーの不具合時に、中身が外から読まれるおそれ |
| その設定ファイルが、誰でも書き込める権限になっていた | 同じサーバーの別の利用者から書き換えられるおそれ |
| 管理者のログイン名が、特定のURLから取得できた | パスワードの総当たり攻撃の半分が成功した状態 |
| エラーの内容が画面に表示される設定 | サーバー内部の情報が攻撃の手がかりになる |
どれも、誰かが設定を間違えたわけではなく、初期状態のままです。
納品時にここが見直されていなければ、そのままの状態で運用が始まります。
当社がお客様のサイトで実際に行った対策をもとに、セキュリティに強いWordPressの条件を7つに整理しました。
データベースのパスワードや認証キーは、インターネットから届かない場所に置きます。
当社では「Bedrock」という構成を使い、公開するフォルダと設定を置くフォルダを分けています。
管理者のパスワードが盗まれたとき、最も怖いのは、悪意のあるプラグインを入れられることです。
管理画面からのプラグインの追加とコードの編集を禁止しておけば、仮にログインされても被害が広がりにくくなります。
社員全員が「管理者」でログインしている。これはよくある状態ですが、危険です。
記事を書く人は「編集者」、設定を変える人だけが「管理者」。必要な人に、必要な分だけの権限を渡します。
ログイン名を外から調べられないようにし、サイト名や会社名から推測できる名前も避けます。
パスワードは長く、使い回さないものにします。可能であれば、スマホでの二段階認証も加えます。
WordPressには、使っていなくても開いている入口があります。
外部連携用の入口、バージョン情報が書かれたファイル、エラーの表示。
使わないものは閉じておくのが基本です。
WordPress本体とプラグインの欠陥は、毎月のように見つかり、修正版が出ています。
「誰が、いつ更新するのか」が決まっていないサイトは、時間とともに弱くなります。
保守の契約に、更新の頻度を明記しておきます。
どれだけ守りを固めても、被害をゼロにはできません。大切なのは、何かあったときに元に戻せることです。
バックアップを取っているだけでなく、実際に戻す手順が決まっているかを確認します。
お問い合わせフォームの内容を、サイトのデータベースに保存し続けている場合があります。
保存しているデータが多いほど、漏れたときの被害は大きくなります。
メールで受け取ったら、サイト側には残さない。 持たない情報は、漏れようがありません。
専門知識がなくても、次の質問をすることで、制作会社のセキュリティへの姿勢が分かります。
| 質問 | 安心できる答えの例 |
|---|---|
| パスワードなどの設定ファイルは、どこに置かれますか | 公開フォルダの外に置きます |
| プラグインは管理画面から追加できますか | 追加は保守担当が行い、管理画面からは制限します |
| 当社の社員には、どの権限を渡しますか | 記事を書く方は編集者にします |
| 本体やプラグインの更新は、誰がいつ行いますか | 保守契約の中で、毎月確認します |
| バックアップはどこに、どのくらいの期間残しますか | 毎日取り、○日分を保管します |
| 不正アクセスに気づいたら、どう対応しますか | 連絡体制と復旧手順を事前に決めておきます |
| お問い合わせの内容は、サイトに保存されますか | メールで受け取り、サイトには残しません |
答えに詰まる、あるいは「WordPressなので大丈夫です」としか返ってこない場合は、納品後の守りまで考えられていない可能性があります。
WordPressのサイトは、安く、早く作ることができます。それ自体は良いことです。
ただ、見積もりの金額には、目に見えるデザインやページ数が反映されやすく、セキュリティの設定や保守の体制は見えにくい部分です。同じ「WordPressで制作」でも、中身の守りはまったく違うことがあります。
サイトは公開して終わりではありません。何年も使い続けるものです。
その間、守りを維持するための費用と手間も、最初から計画に入れておく必要があります。
情報漏えいのニュースは、大企業だけの話ではありません。
お問い合わせフォームが1つあれば、どの会社のサイトも個人情報を預かっています。
セキュリティに強いWordPressの条件は、次の7つです。
| 条件 | ひとことで言うと |
|---|---|
| 設定ファイルが公開フォルダの外 | 金庫を店先に置かない |
| 管理画面からプラグインを追加できない | 入られても広げさせない |
| 権限が分かれている | 必要な人に必要な分だけ |
| ログイン名を隠し、パスワードを強く | 入口の鍵を2重にする |
| 不要な入口を閉じる | 使わない扉は閉める |
| 更新する人と頻度を決める | 守りを古くしない |
| バックアップと戻し方 | 何かあっても戻れる |
Webサイトのセキュリティは、制作会社に任せきりにできる話ではありません。
最後に決めるのは、そして責任を負うのは、経営者です。
だからこそ、発注するときに一つだけ聞いてみてください。
「このサイトは、納品後どうやって守られますか」と…。
当社が実際に行った構成の詳細は、別の記事で手順とあわせて公開しています。
今お使いのサイトの守りが気になる方は、お気軽にご相談ください。