よくある質問

〜なぜ日本のWordPressは狙われやすいのか〜

日本のCMSシェアにおけるWordPressの占有率は、世界平均を大きく上回っています。

企業の公式サイト、士業の事務所サイト、医療機関のサイト、地方自治体の関連サイトまで、幅広い分野でWordPressが使われています。これだけ普及した背景には、Web制作会社がWordPressを標準的な受注手段として使い続けてきた経緯があります。

攻撃者の視点では、標的の密度が高い環境です。

人間が手作業で探しているわけではありません。

自動化されたスキャンツールが24時間365日、世界中のIPアドレスに対してアクセスを試みています。WordPressのログインページ（`/wp-login.php`）や管理画面のURL（`/wp-admin/`）は初期設定で固定されており、ツールはこれらに対して自動的にアクセスを試みます。

あなたのサイトが有名かどうかは無関係です。IPアドレスが存在し、WordPressが動いていれば、自動的にスキャン対象になります。

複数の要因が重なっています。

① セキュリティ情報の英語格差
世界のセキュリティ情報は英語で発信されます。脆弱性の発見、攻撃手法の公開、パッチのリリース——これらはすべて英語で最初に出回ります。日本語の情報が出るまでに数日〜数週間かかることがあり、その間に対処されていないサイトが攻撃にさらされます。

② 更新を止めているサイトの多さ
「更新するとデザインが崩れるかもしれない」「プラグインが動かなくなるかもしれない」という懸念から、WordPressの更新を意図的に止めているサイトが日本には多く存在します。更新されていないサイトは、既知の脆弱性を抱えたまま動き続けます。

③ 制作会社への丸投げ文化
サイトの管理をすべて制作会社に任せているケースが多く、経営者がどんな環境で動いているかを把握していないことがほとんどです。制作会社が廃業すれば、誰も管理できない状態になります。

④ インシデントを公表しない慣行
被害を受けても外部に公表しないケースが多いため、業界全体での情報共有が進みません。同じ攻撃手法で何度も被害が出続けます。

更新していないWordPressは、鍵のかかっていない扉と同じ状態です。

WordPressのコア、テーマ、プラグインにはそれぞれ定期的に脆弱性が発見されます。更新はその脆弱性を修正するためのものです。更新を止めるということは、発見された脆弱性を放置し続けることを意味します。

2025年7月には、40万件以上のサイトで使われる人気プラグインに深刻な脆弱性が発見されました。更新していないサイトは、この脆弱性が修正されないままです。

侵害されたWordPressサイトでは、次のようなことが管理者に気づかれないまま行われます。

• ✓サーバーにバックドア（裏口）が設置される
• ✓スパムメールの送信基地として使われる
• ✓他のサイトへの攻撃の中継点として使われる
• ✓訪問者のブラウザにマルウェアが仕込まれる
• ✓フィッシングページがサイト内に設置される

いずれもWordPressの管理画面には表示されません。サイトは普通に動き続けます。

日本の`.co.jp`や`.or.jp`ドメインは、国際的に信頼性が高いと認識されています。

この信頼性を悪用されると、フィッシングメールのフィルターを通過しやすくなります。「日本の会社からのメール」として届くため、受信者が疑いを持ちにくいのです。

また、日本国内のサーバーからの攻撃トラフィックは、海外からのものと比べてブロックされにくいという実態もあります。

あります。むしろ小さなサイトの方がリスクが高い側面があります。

大企業はセキュリティ担当者を置き、定期的な監査を行います。しかし中小企業や個人事業主のサイトは、管理が行き届いていないケースが多い。攻撃者はこれを知っており、管理の甘いサイトを優先的に標的にします。

今すぐできることと、根本的な対策があります。

【今すぐできること】

• ✓WordPressのコア・テーマ・プラグインをすべて最新バージョンに更新する
• ✓使っていないプラグインを削除する
• ✓管理者パスワードを強力なものに変更する
• ✓ログイン試行を制限するプラグインを導入する

【根本的な対策】

更新し続けることに限界を感じているなら、WordPress以外の選択肢を検討することです。静的サイトはデータベースもPHPもプラグインも持たないため、これらの攻撃経路そのものが存在しません。