使っていないWordPressの放置は危険？年末年始前に確認したい対策｜BiNDism
BiNDism最近、企業やWebサービスへのサイバー攻撃のニュースを目にする機会が増えました。
大企業が攻撃を受けて業務が停止したり、個人情報が流出したり。そんなニュースを見るたびに、以前から気になっていたことを思い出します。
それは、何年も更新されずに放置されているWordPressの存在です。
大企業であれば、情報システムの担当者がいたり、セキュリティ対策に予算をかけていたりします。それでも被害に遭うことがあります。
では、数年前に作ったまま、誰も管理していない中小企業のホームページやブログはどうでしょうか。
私はホームページ制作の仕事を14年以上続けていますが、これまで何度か、数年ぶりにWordPressについてご相談をいただいたことがあります。
「久しぶりにWordPressを更新しようと思ったら、うまく動かなくなってしまった」
確認してみると、WordPress本体だけでなく、サーバーのPHPも古いまま。プラグインやテーマも長い間更新されていない、という状態です。
特別珍しいケースではないと思います。
そして最近のサイバー攻撃に関する報道を見ていると、こうしたサイトが今どうなっているのか、少し心配になっています。
WordPressは、ブログを書いていなくても動いています
WordPressを使い始めた頃は、ブログを書いたり、お知らせを更新したりしていたものの、忙しくなって何年も触っていない。
そんな方も多いのではないでしょうか。
ホームページ自体は普通に表示されているし、ブログももう使っていない。だから特に困っていない。
気持ちはよく分かります。
ただ、ここに大きな落とし穴があります。
WordPressは、パソコンで作ったページをサーバーに置くだけの仕組みではありません。
サーバー上でPHPというプログラムを動かし、データベースと連携してページを表示しています。
そのため、ブログ記事を何年も投稿していなくても、WordPress自体はサーバー上に残っています。
そして、WordPress本体やプラグイン、テーマなどに脆弱性が見つかった場合、更新されていないサイトは攻撃の対象になる可能性があります。
使っていないことと、安全であることは、まったく別の話なのです。
「消されても困らない」では済まないこともあります
以前作ったブログをもう使っていない方からすれば、
「別に大事なものは入っていないし、消えてしまっても困らない」
と思うかもしれません。
でも、サイバー攻撃で怖いのは、ホームページが消されたり、書き換えられたりすることだけではありません。
例えば、WordPressが不正アクセスを受けると、知らないうちに詐欺サイトへ誘導する仕組みを埋め込まれたり、迷惑メールの送信や、ほかのサイトへの攻撃に悪用されたりすることがあります。
自分ではもう使っていないブログが、第三者に被害を与えるための道具にされてしまう可能性があるわけです。
もちろん、古いWordPressがすべて危険というわけではありませんし、放置しているサイトが必ず攻撃されるわけでもありません。
ただ、誰も管理していないサイトは、脆弱性が見つかっても対応されず、万が一侵入されても気づくのが遅れる可能性があります。
レンタルサーバーの契約を続けている限り、そこに設置したプログラムの管理も必要です。
使わないのであれば、必要なデータを保存したうえで削除する。使い続けるのであれば、適切に更新して管理する。
WordPressには、そうした対応が必要だと思います。
特に気になっているのが、今年の年末年始です
年末年始は、多くの企業が長期休暇に入ります。
ホームページの担当者だけでなく、制作会社やシステム管理を請け負っている会社も休みに入る時期です。
独立行政法人 情報処理推進機構（IPA）でも、長期休暇中はシステム管理者が不在になり、セキュリティ事故への対応が遅れることで、被害が拡大する可能性があると注意を呼びかけています。
私自身、こうした時期がサイバー攻撃に狙われるのではないかと気になっています。
攻撃者からすれば、異常が発生してもすぐに気づかれず、対応も遅れやすい時期です。
もちろん、今年の年末年始に大規模な攻撃が起こると決まっているわけではありません。
ただ、攻撃はある日突然始まるとは限りません。
脆弱なサイトが事前に調べられたり、すでに侵入されたサイトが気づかれないまま悪用され続けたりすることもあります。
そう考えると、年末になってから慌てるのではなく、今のうちに一度確認しておくことには意味があると思います。
古いWordPressを、いきなり更新するのも危険です
では、何年も更新していないWordPressを見つけたら、とにかく最新版にすればいいのでしょうか。
実は、そう簡単ではありません。
これは私自身、これまでの仕事で何度か経験していることです。
数年間更新されていないWordPressの場合、サーバーのPHPが古かったり、使用しているテーマやプラグインが新しい環境に対応していなかったりします。
その状態でWordPressを一気に更新すると、ホームページが正常に表示されなくなったり、管理画面に入れなくなったりすることがあります。
プラグインによっては、すでに開発が終了しているものもあります。
そのため、長期間放置していたWordPressについては、まず現在の状態を確認することが大切です。
バックアップを取得したうえで、PHPやテーマ、プラグインの対応状況を確認しながら更新する必要があります。
何年も更新していないWordPressは、バックアップも取らずに更新ボタンを押さないでください。
使わないWordPressは、削除するという選択も
もし現在使っていないWordPressがあるのであれば、今後も必要なのか、一度考えてみてください。
これからブログを再開する予定があるなら、適切に更新して使い続ければいいと思います。
一方、もう何年も使っておらず、今後も利用する予定がないのであれば、無理に維持し続ける必要はありません。
記事や画像など、残しておきたいデータをバックアップしたうえで、WordPressそのものをサーバーから削除するという選択肢があります。
注意したいのは、ホームページからブログへのリンクを消したり、ページを非公開にしたりするだけでは、WordPress自体がサーバーに残っている場合があることです。
また、削除する際は、現在使用しているホームページやほかのシステムに影響しないか、事前に確認する必要があります。
更新するのか、削除するのか。
大切なのは、何もせずに放置し続けないことだと思います。
BiNDupをご利用の方は、バックアップを確認してください
ここまでWordPressの話が中心になりましたが、BiNDupをご利用の方にも確認していただきたいことがあります。
それは、サイトデータのバックアップです。BiNDupではバックアップとエクスポートというものがありますが、私としては圧倒的に「サイトをエクスポート」をおすすめしています。そして、そのエクスポートで作ったzipファイルをUSBや外部のHDD・SSD、クラウドなどに保存しておくのがいいと考えています。
BiNDupはWordPressとは仕組みが異なりますが、万が一のサーバートラブルやパソコンの故障、データの消失などに備える必要があることは同じです。
BiNDupのサイトデータは、公開されているホームページが残っていれば必ず元どおりに復元できる、というものではありません。
サイトデータをエクスポートし、USBメモリや外付けドライブ、クラウドストレージなど、普段使用しているパソコンとは別の場所にも保存しておくことをおすすめします。
特に、長い間バックアップを取っていない方は、この機会に確認してみてください。
年末年始の前に、一度確認してみてください
今回この記事を書いたのは、何か特定の攻撃情報を入手したからではありません。
最近のサイバー攻撃に関するニュースを見ていて、これまで自分が関わってきたホームページのことが気になったからです。
BiNDismでは、納品後はお客さまご自身でホームページを更新・管理されるケースが多くあります。もしろ、そのためにBiNDupで作るという方法を選択されて、BiNDismに最初の制作だけは依頼する。というケースが中心でした。（実は最近はそうでもなくなってきていますが）
それ自体はまったく問題ありません。
ただ、ホームページは公開したら終わりというわけではありません。
特にWordPressのようなシステムは、使い続けるのであれば、定期的な更新やセキュリティ対策が必要です。
そして、使わなくなったのであれば、そのままサーバーに残しておく必要があるのか、考えてみてほしいと思います。
年末年始を迎える前に、ぜひ一度、ご自身のホームページについて確認してみてください。
BiNDupをご利用の方はバックアップを。
WordPressをご利用の方は、バックアップと更新状況の確認を。
そして、もう使っていないWordPressがある方は、削除も含めて検討してみてください。
ご自身で対応できる場合は、それで十分です。
操作方法が分からない場合や、長期間放置していたWordPressの更新に不安がある場合は、BiNDismでも有償で対応していますので、お気軽にご相談ください。
何か起きてからではなく、何も起きていない今のうちに。
そんな思いで、今回の記事を書きました。
参考情報