日本のWordPressはなぜこれほど狙われるのか

攻撃者はあなたのサイトを知りません。

名前も、業種も、規模も、関係ありません。ただ「WordPressが動いているかどうか」だけを確認します。動いていれば、自動的にスキャンします。隙があれば、自動的に入ります。

これは特定の誰かを狙った攻撃ではなく、網を海に広げるような行為です。そしてその網に、日本のサイトは非常に引っかかりやすい構造になっています。

英語で書かれた脆弱性情報

セキュリティの世界では、情報の速度が命です。

新しい脆弱性が発見されると、その情報は英語で発信されます。CVEデータベース、セキュリティ研究者のブログ、GitHubのissue——これらはすべて英語です。攻撃者はその情報を即座に取得し、自動化されたツールに落とし込みます。

日本語の記事が出るのは、早くて数日後。遅ければ数週間後。

その間、日本のサイト管理者の多くはその脆弱性の存在を知りません。更新すべきプラグインがあることも、どんなリスクがあるかも。知らないまま、脆弱性を抱えたサイトが動き続けます。

技術の問題ではありません。情報格差の問題です。

日本でよく聞く言葉です。

WordPressを更新すると、テーマが崩れることがある。プラグインが動かなくなることがある。だから更新しない——これは決して無知から来る判断ではありません。実際にそういうことが起きるからです。

でも、更新しないという選択は、別のリスクを引き受けることになります。

脆弱性が修正されたバージョンがリリースされても、更新しなければその修正は適用されません。攻撃者はその脆弱性を利用します。「更新したら壊れるかもしれない」という懸念と、「更新しなければ侵害されるかもしれない」というリスクの間で、多くの管理者は前者を選び続けます。

結果として、日本全国に「既知の脆弱性を抱えたまま動き続けるサイト」が積み上がっていきます。

日本のWebサイト制作のもう一つの特徴は、制作後の関係性にあります。

多くの場合、サイトを作った制作会社が保守契約を結び、月額の保守費用を受け取ります。経営者はサイトが「動いていること」を確認するだけで、何のバージョンが動いているか、どんなプラグインが入っているか、最後にいつ更新されたかを知りません。

これは信頼関係として成立しているように見えますが、一つの問題を内包しています。

制作会社がなくなったとき、すべてが止まります。

ここ数年、Web制作の単価が下がり続けた影響で、制作会社の廃業・撤退が加速しています。突然連絡がつかなくなる。法人が消える。そうなったとき、サイトの管理者は誰もいなくなります。パスワードも分からない。どこのサーバーか分からない。プラグインの更新も止まる。

このような「管理者不在のWordPressサイト」が、日本全国に静かに増え続けています。

少し視点を変えてみます。

攻撃者から見た日本のWebサイト群は、どう見えるでしょうか。

WordPressが高密度で存在している。更新が止まっているサイトが多い。管理者が技術的な詳細を把握していないケースが多い。被害が出ても公表しない文化がある。セキュリティ専門人材が圧倒的に少ない。

これは攻撃しやすい環境の条件が、複数重なっている状態です。

しかも日本の.co.jpドメインは国際的な信頼性が高い。侵害したサイトをフィッシングやスパムに使うとき、日本の信頼性の高いドメインは都合がいい。フィルターを通過しやすく、受信者が疑いを持ちにくい。

日本のサイトを狙う動機は、日本を標的にしているからではありません。使いやすい環境がそこにあるからです。

「うちは小さい会社だから」「うちは地方の事務所だから」「うちのサイトは地味だから」。

この感覚は理解できます。でも攻撃者は、あなたのサイトを知らないまま侵害します。

自動化されたツールがIPアドレスに順番にアクセスし、WordPressのログインページが返ってくれば記録する。既知の脆弱性があるバージョンが動いていれば試みる。入れれば入る。あとは自動的に使われます。

有名かどうか、大きいかどうかは、この工程のどこにも出てきません。

英語の情報格差は短期間では埋まりません。更新しない文化もすぐには変わりません。制作会社への丸投げ文化も同じです。

だとすれば、「攻撃される前提で守る」か、「攻撃される入り口を構造的になくす」かのどちらかです。

WordPressを適切に管理し続けることは、前者の選択です。継続的なコストと注意が必要です。

静的サイトに移行することは、後者の選択です。データベースもPHPもプラグインも管理画面もなければ、それらを狙った攻撃は成立しません。

どちらが正解かは状況によります。ただ、「今のまま何もしない」は、選択肢として機能しなくなっています。

日本のWordPressが狙われる理由の詳細は、[FAQページ]にまとめています。具体的なご相談は、お問い合わせからどうぞ。