最近、不正アクセスや情報漏洩のニュースが続いています。大きな会社の話に見えますが、Webサイトを公開している以上、会社の規模は関係ありません。

「うちのサイト、作ってもらってから何年も触っていないけど大丈夫かな」。そう思ってこのページにたどり着いた方もいるかもしれません。今回は、まず確認してほしいことと、私たちがいま取り組んでいることを書いてみます。

「普通に表示されている」は、安全のしるしではありません

Webサイトの裏側では、サーバーやPHP、WordPressのようなCMSなど、いくつものソフトが動いています。これらは定期的に更新されていて、古いままにしておくと、すでに知られているセキュリティ上の欠陥（脆弱性）が、そのまま攻撃の入口になってしまいます。サポート期限が切れて、修正そのものが提供されなくなることもあります。

WordPressそのものが危ないわけではありません。問題は、本体やプラグインの更新が止まったまま使われ続けていること。制作会社に作ってもらった後、保守の契約はしていない、更新は誰もしていない、というケースは珍しくありません。

見た目にも動作にも異常がないので、気づきにくい。そこがいちばん厄介なところです。

まず確認してほしいこと

専門的な知識がなくても確認できることを挙げてみました。答えられない項目が多いほど、一度見直したほうがいいサインです。

• WordPressなどを最後に更新したのはいつか
• 管理画面のIDとパスワードを、誰が持っているか
• そのIDを、複数人や退職した人と共有していないか
• サーバーとドメインの契約者は誰か（自社か、制作会社か）
• バックアップを取っているか。取っているなら、どこにあるか
• 問い合わせフォームの内容が、どこに届き、どこに残っているか

最後の項目は意外と見落とされがちです。お客様の名前や連絡先を預かっている以上、いちばん守るべき場所かもしれません。

更新だけでは解決しないこともあります

ソフトを最新にしても、使い方の問題は残ります。これまで多くのサイトやシステムに関わってきた中でよく見かけるのが、管理者のIDをみんなで共有している、記事を更新するだけの人にもサイト全体を変更できる権限がある、といった状態です。

これだと、IDとパスワードがひとつ漏れただけで被害が大きくなりますし、何かあったときに誰が操作したのかも分かりません。対策は、ひとりにひとつのIDを用意する、担当に必要な分だけ権限を渡す、管理画面に入れる場所を絞る、といった基本的なものです。地味ですが、長く運用しているサイトほど手つかずになりやすい部分です。

100%は防げない。だから、復旧まで考える

正直に言うと、どんな対策をしても、不正アクセスを100%防ぐことはできません。だから私たちは、更新やログの確認といった日々の見守りに加えて、バックアップと復旧の備えを大事にしてきました。いまは、既存システムのバックアップから本当に元に戻せるのか、という検証にも取り組んでいます。

ただ、システムは元に戻せても、一度外に出てしまった個人情報は取り戻せません。だからこそ、もし入られてしまっても、見られる情報やできる操作を最小限にしておく。そんな仕組みづくりにも、これから力を入れていきます。

入られにくくすること。入られても被害を広げないこと。そして、元に戻せること。

この3つをそろえておくことが大切だと考えています。

AIで、確認できる範囲を広げています

ここ数年でAIは大きく進化し、プログラムや設定の中から、問題になりそうな箇所を見つける作業にも使えるようになってきました。私たちも日々の開発でAIを使っていて、以前よりずっと広く、深く確認できるようになったと感じています。

もちろん、AIが「大丈夫」と言えば安全、というわけではありません。実際に動かして確かめることと組み合わせて、はじめて意味のある対策になります。お客様の情報の扱いにも十分に気をつけたうえで、活用していきます。

気になったら、そのままの状態でご相談ください

私たちは、高度なサイバー攻撃に対応する専門のセキュリティ会社ではありません。20年、Webサイトやシステムをつくり、運用してきた立場から、いまの状態にどんなリスクがあって、何から手をつければいいのかを一緒に整理する。それが私たちにできることです。

• 制作会社に任せたまま、何年も更新していない
• 作ってくれた制作会社と、連絡が取れなくなってしまった
• WordPressの管理者が誰なのか分からない
• サーバーやバックアップがどうなっているのか把握していない

こんな状態でも大丈夫です。まずは現状を一緒に確認して、設定を変えれば済むもの、改修が必要なもの、専門の会社に調べてもらうべきものを切り分けるところから始めます。費用がかかる場合も、リスクの大きさとあわせてご説明しますので、優先順位をつけて進められます。

なお、すでに被害が疑われる場合は、IPA（情報処理推進機構）の相談窓口や、調査を専門とする会社へのご相談もあわせて検討してください。

Webサイトの運用で気になることがあれば、お気軽にご相談ください。