【実録】Webサイトのサイバー対策｜WordPress・サーバーのリスク管理とクラウド攻撃に備えるバックアップ｜和田経営相談事務所｜愛媛県松山市の経営コンサルタント

「うちのような小さな会社のWebサイトにも、サイバー対策が必要なのか。」

「サーバーのセキュリティ機能があれば、WordPress側の対策はいらないのか。」

「クラウドが攻撃されたとき、ホームページを戻すデータは手元にあるだろうか。」

本記事は、当事務所が実際に設定・点検・修正・保存を行い、管理画面や作業記録で確認した一次情報に基づく実践記録です。自社で管理している経営者にも、保守会社へ任せている経営者にも、確認の手がかりになるようまとめました。

小さな事務所のWebサイトにも、50万件を超える遮断記録

「サイバー攻撃を心配するのは、大企業や有名な会社だけではないか」。そう考えている経営者の方もいらっしゃるかもしれません。しかし、当事務所の実際の管理画面には、次の数字が表示されていました。

※この数字はプラグインによるアクセス遮断件数であり、すべてを悪意ある攻撃と確認した数字や、攻撃者の人数ではありません。集計開始日は未確認のため、直近14日間の攻撃件数とも扱いません。

当事務所がこの記録から重視したのは、小規模な事務所のサイトでも、アクセスを選別・遮断する備えが実際に必要になっているということです。「今まで問題なく表示されていた」という感覚だけで、管理を済ませることはできません。

警察庁によると、2026年上半期に国内で認知されたランサムウェア被害は123件で、半期として過去最多でした。ランサムウェアは、データを暗号化して使えなくし、元に戻す対価を要求する不正プログラムです。［1］［2］

WAFとプラグインで、Webサイトをダブルで守る

当事務所では、エックスサーバー側のWAFと、WordPress側のIP Location Blockを組み合わせています。サーバーとWordPressという異なる場所に防御を置く、二段構えの考え方です。

WAFは「Webアプリケーションファイアウォール」の略で、Webサイトへの通信を検査する仕組みです。IP Location BlockはWordPressへ追加するプラグインで、接続元に応じたアクセス制限などを担います。役割の異なる対策を組み合わせて、サイトを守っています。［8］［9］

エックスサーバーではWAFの6項目がON

当事務所の本番ドメイン「wada-keiei.com」では、XSS・SQL・ファイル・メール・コマンド・PHPの各対策が、すべてONになっていることを確認しました。

WAFは今回初めて有効にしたのではなく、既存の設定を点検しました。前掲の568,981件はWordPress側のプラグインの記録で、WAFの遮断件数を加えた合計ではありません。

ただし、二つの仕組みを入れればすべての攻撃を防げるわけではありません。WAFはプログラム自体の弱点を修正する機能ではないため、更新管理も必要です。また、お客様の閲覧や問い合わせなど、必要なアクセスを妨げていないかも確認します。［8］

まず管理画面を開く。それだけで気づけることがある

自社サイトの管理画面を、最後に確認したのはいつでしょうか。「制作会社に任せている」「普通に表示されている」と、公開後の管理が後回しになっていないでしょうか。

• ▶「ツール」→「サイトヘルス」：対応が必要な問題や改善の提案を確認します。セキュリティだけでなく、表示速度や設定の指摘も含まれるため、項目を開いて内容を読みます。［3］
• ▶「ダッシュボード」→「更新」：WordPress本体、プラグイン、テーマの更新状況を確認します。「プラグイン」横の赤い数字は更新可能な件数であり、放置せず確認するきっかけになります。［4］

警告があることは侵入された証拠ではなく、「良好」も安全の保証ではありません。当事務所でもサイトヘルスは「良好」でしたが、それとは別に、設定やプログラムの確認・修正を行いました。

通知を誰も見ない状態にしないことが、最初の対策です。更新が残っていれば担当者と対応期限を決め、バックアップや互換性を確認して進めます。判断が難しい場合は、表示された項目名を保守担当者へ伝えてください。

ログインの強化と、不要なプラグインの整理も行う

WordPressとサーバーの両方で二要素認証を追加

当事務所では、WordPressとエックスサーバーの管理アカウントに二要素認証を追加しました。パスワードに加えて認証アプリの確認コードを使い、本人確認を強化する仕組みです。

設定後は普段使う経路でログインを確認し、認証アプリを使えなくなった場合に備える回復コードも発行しました。記事を編集する入口と、サーバーを管理する入口は別なので、両方を守る必要があります。

使わない機能や、保守されていない仕組みを残さない

記事の投稿とソフトウェアの更新は別です。記事を毎週書いていても、サイトを動かす仕組みが古ければ、脆弱性、つまり不正な操作や侵入につながり得る弱点が残ることがあります。［5］

当事務所では、安全上の理由で公式配布が停止されていたプロフィール表示用プラグインを削除しました。先に別の方法でプロフィールを表示し、問題がないことを確認してから切り替えています。

プラグインは無効化しても通常はファイルが残り、弱点の種類によっては悪用される場合があります。使わないものは削除を検討し、更新通知がなくても、開発終了や配布停止の有無を確認します。［6］

このほか、検索語の表示処理の修正、古いプログラムの重複読み込みの解消、不要な旧ファイルの削除も行いました。必要な機能と戻す方法を確認しながら変更し、主要ページのパソコン・スマートフォン表示と通常の検索を確かめています。

クラウドへの攻撃に備え、バックアップを手元にも保存した

私自身、クラウドなら安全だと思っていた面がありました。しかし、クラウドへの攻撃で企業のウェブサイトが開けなくなったという事例を知り、サーバー側のバックアップだけに頼ってよいのか、と考えました。

サーバー側にバックアップがあっても、そのサービスや管理画面を使えなければ、必要なデータを取り出せない可能性があります。そこで、運用しているサーバーとは別の場所にも、サイトを戻すためのデータを持つことにしました。

2026年10月14日、同じ10月12日分を選んだ次の二つを、手元のパソコンへ保存しました。

• ●サイトファイル：画像、テーマ、プラグインなど、Webサイトを構成するファイル。
• ●データベース：記事本文や設定などを保存しているデータ。

WordPressの復旧には両方が必要です。今回は保存先に二つがそろい、転送が完了していることまで確認しました。

バックアップは、保存した後の備えも必要

パソコンへの保存は完了しましたが、復元テストはまだ行っていません。今回の到達点と今後の課題は、次のとおりです。

パソコンにも故障や感染のリスクがあります。警察庁はバックアップをネットワークから切り離して保存する備えを勧め、IPAも中小企業向けの基本対策にバックアップを位置付けています。［2］［7］

今回の保存対象はサイトファイルとデータベースであり、メールやサーバー全体の設定一式ではありません。何を保存し、誰がどう戻すかを把握しておくことも大切です。

経営者は、Webサイトを守る仕組みを確認する

ホームページは、会社の信用、問い合わせ、受注につながる経営資産です。その管理を、詳しい人だけの仕事にしてしまわず、経営者も次の項目を確認してください。

• □二段構えの防御：サーバー側とWordPress側で、どの機能を使い、何を防いでいるか。
• □日常の管理：サイトヘルス、更新通知、認証設定、遮断状況を誰が確認するか。
• □バックアップ：運用サーバーとは別の場所に、必要なデータを保存しているか。復元は確認できているか。
• □停止時の対応：誰へ連絡し、どの業務を優先して再開するか。顧客への案内や入金の遅れにどう備えるか。

小規模な当事務所にも、50万件を超えるアクセス遮断の記録がありました。この実例を、自社のWebサイトを見直すきっかけにしていただければと思います。まず管理画面を開くか、担当者と一緒に確認する時間をつくってください。

事業を止めない備えは、財務基盤や経営体制の見直しにもつながります。資金繰りや経営改善のお困りごとは、当事務所へお聞かせください。

自社の財務基盤を盤石にし、本気の事業成長を目指す方は、ぜひ一度当事務所へご相談ください。