よくある質問

〜踏み台にされたサイトについて〜

あなたのWebサイトのサーバーが、第三者への攻撃や迷惑メール送信の中継地点として利用されることです。

攻撃者はあなたのサイトを直接破壊するのではなく、外部から見えない形でサーバーに侵入し、他のサイトへの攻撃や大量スパム送信に使います。あなたのサイトは表面上、普通に動き続けます。

代表的な悪用のパターンは以下のとおりです。

• ✓【スパムメールの大量送信】あなたのサーバーから何万通もの迷惑メールが送られる
• ✓【フィッシングサイトの設置】あなたのドメイン上に偽の金融機関サイトが作られる
• ✓【他サイトへのDDoS攻撃の中継】あなたのサーバーを経由して他のサイトが攻撃される
• ✓【マルウェアの配布】あなたのサイトにアクセスした訪問者のPCに不正プログラムが仕込まれる

攻撃者にとって、気づかれないことが最大の目的だからです。

サイトのデザインや記事は一切変更しません。表示速度もほぼ変わりません。普段どおりの問い合わせも届きます。侵害された痕跡はサーバーの深部に隠されており、WordPressの管理画面を見ても何も表示されません。

管理者が気づく典型的なきっかけは以下のいずれかです。

• ✓Googleから「このサイトは危険です」という警告が出る
• ✓取引先から「御社のサーバーから攻撃が来ている」と連絡が来る
• ✓メールが届かなくなる（送信元IPがブラックリストに登録された）
• ✓サーバー会社からアカウント停止の通知が届く

いずれも、侵害されてからかなりの時間が経過した後です。

トレンドマイクロの調査によれば、2025年に日本国内で公表されたセキュリティインシデントは559件、1日あたり1.5件のペースで発生しています。

ただしこの数字は「公表されたもの」のみです。気づいていない被害、公表していない被害は含まれません。業界では、実際の被害件数は公表件数の数十倍に上ると推計されています。

理由は2つあります。

① 世界シェアが高いため、攻撃ツールが豊富に存在する
WordPressは世界のWebサイトの40%以上で使われています。攻撃者はWordPress専用の自動スキャンツールを持っており、24時間体制で世界中のWordPressサイトを探し回っています。有名なサイトだけが狙われるわけではありません。

② プラグインの脆弱性が定期的に発見される
2025年7月には、40万件以上のサイトで使われる人気プラグインに深刻な脆弱性が発見されました。プラグインを更新していないサイトは、この脆弱性が修正されないまま放置されることになります。

本当ではありません。

攻撃者はサイトの規模や知名度を基準に選びません。セキュリティの隙があるかどうかだけを基準にします。むしろ小規模なサイトほど、管理が行き届いていないケースが多く、標的になりやすい側面があります。

法人と異なり、個人事業主・士業(個人事業主)は無限責任を負う可能性があります。

お問い合わせフォームや予約システムで収集した個人情報が漏洩した場合、その賠償責任は事業の収益を超えて個人の全財産に及ぶ可能性があります。加えて士業の場合、守秘義務違反として懲戒処分・資格剥奪のリスクも生じます。

WordPressをやめることは、リスクを根本から下げる有効な手段のひとつです。

ただし「やめる」だけでは不十分で、何に移行するかが重要です。静的HTMLベースのサイトは、データベースもPHPも持たないため、WordPressの主要な攻撃経路そのものが存在しません。