「うちは大丈夫」が一番危ない。知らないと手遅れになるホームページのセキュリティ対策
公開日：
「うちは小さな会社だから、狙われるはずがない」「Webサイトに個人情報も載せていないし、セキュリティは特に気にしていない」──もし、そう考えているなら、その認識は今すぐ改める必要があります。
サイバー攻撃は、もはや大企業だけを狙うものではありません。むしろ、セキュリティ対策が手薄になりがちな中小企業のWebサイトこそ、攻撃者にとって格好の標的になっているのです。
現在、InstagramやFacebookなどのSNSの乗っ取り事件が増えています。Webサイトも同様に乗っ取りの危険性があります。
一度セキュリティ事故が起これば、Webサイトの改ざんや停止によるビジネス機会の損失だけでなく、最悪の場合、顧客情報の流出によって会社の信用が根底から揺らぐことにもなりかねません。
この記事では、後回しにされがちなWebサイトのセキュリティ対策について、「なぜ重要なのか」「何をすべきなのか」を専門家の視点から分かりやすく解説します。
あなたのサイトも狙われている？その理由とは
攻撃者の目的は多様化しています。
たとえば、あなたのサイトを乗っ取り、他のサイトを攻撃するための「踏み台」として使うケースがあります。あるいは、訪問者のパソコンにウイルスを感染させるための「罠」として利用されたり、お問い合わせフォームから送られたわずかな情報を盗み出す「情報の窃取」も行われます。中には、単なる愉快犯が自己顕示欲を満たすためにサイトを改ざんすることもあります。
重要なのは、これらの攻撃の多くが特定の企業を狙って行われるわけではないということです。攻撃者は自動プログラムを使い、世界中のWebサイトを巡回して脆弱性（セキュリティ上の弱点）がある場所を無差別に探しています。つまり、サイトの規模や知名度に関係なく、すべてのWebサイトが攻撃対象になり得るのです。
今すぐ確認！5つのセキュリティ対策
【1】SSL化（通信の暗号化）は「常識」です
SSL化とは、Webサイトと閲覧者の間の通信を暗号化する仕組みです。URLが「http://」ではなく「https://」で始まり、ブラウザのアドレスバーに鍵マークが表示されていればSSL化されています。
なぜ必要か？
SSL化されていないサイトでは、お問い合わせフォームに入力された個人情報などを第三者に盗み見られる危険性があります。また、現在のGoogle検索ではSSL化が推奨されており、SEO（検索順位）にも影響します。安全性と集客の両方の観点から、SSL化は今や“必須の常識”です。
確認すること
自社サイトのURLが「https://」で始まっているかを確認しましょう。
【2】CMSとプラグインは「常に最新」に保つ
WordPressなどのCMS（コンテンツ管理システム）を利用している場合、本体やプラグインのアップデートが定期的に提供されています。これらをアップデートせず放置しているとどうなるのでしょうか。
なぜ必要か？
アップデートには新機能の追加だけでなく、発見された脆弱性を修正する重要なプログラムも含まれています。更新を怠るのは、鍵を開けたまま家を出るようなもの。古いバージョンを放置することで、攻撃者に侵入のきっかけを与えてしまいます。
確認すること
CMSとプラグインの管理画面で「更新があります」と表示されていないか定期的に確認しましょう。
【3】パスワードは「複雑」かつ「使い回さない」
Webサイトの管理画面にアクセスするためのIDとパスワードは、最後の防御壁です。
なぜ必要か？
「admin」「123456」などの単純なパスワードは、プログラムによる総当たり攻撃で簡単に破られます。さらに、他のサービスと同じパスワードを使い回している場合、そのサービスから情報が漏れると連鎖的に不正ログインされる危険もあります。
確認すること：
推測されにくい複雑なパスワード（英大文字・小文字・数字・記号の組み合わせ）を設定し、定期的に変更しているか確認しましょう。
【4】WAF（Webアプリケーションファイアウォール）を導入する
WAFとは、Webサイトへの不正な攻撃を検知・遮断する「防火壁」のようなシステムです。
なぜ必要か？
WAFは、CMSの脆弱性を突いた攻撃や、不正なアクセスを防御するのに非常に有効です。SQLインジェクションやクロスサイトスクリプティング（XSS）など、巧妙化する攻撃をブロックできます。多くのレンタルサーバーでオプション機能として提供されており、設定も比較的簡単です。
確認すること：
利用中のサーバーにWAF機能があるか、また有効になっているかを確認しましょう。
【5】定期的なバックアップを取得する
どれだけ対策をしても、攻撃を100%防ぐことはできません。万が一の事態に備えて、バックアップは必ず行いましょう。
なぜ必要か？
サイトが改ざんされたり、データが消失してしまった場合でも、バックアップがあれば攻撃前の正常な状態に復元できます。バックアップがない場合、最悪のケースは一から作り直す必要があり、時間とコストの損失となってしまいます。
確認すること：
サーバー側で自動バックアップが設定されているか、または手動で定期的にデータを保存しているか確認してください。
【まとめ】セキュリティ対策は「コスト」ではなく「信頼を守る投資」
Webサイトのセキュリティ対策は、一度やれば終わりではありません。攻撃の手口は日々進化しており、継続的な見直しと管理が欠かせません。しかし、すべてを自社で対応するのは大きな負担です。
株式会社イーポートでは、Webマーケティングやシステム開発のプロとして、お客様のビジネスを守るWebサイト構築と運用をサポートしています。サーバーの選定からCMS保守、万一の復旧対応まで、トータルで安心のサポート体制をご用意しています。
「うちのサイトは大丈夫だろうか？」「何から手をつければいいか分からない」
という企業様、ぜひ一度ご相談ください。まずは無料で貴社サイトの現状を診断させていただき、最適な対策をご提案いたします。
この記事を書いた人
- システム開発、アプリ開発に関する情報をお届けします。
