2026.10.06 コラム

小規模事業者のためのサイバー攻撃対策｜WordPress・PC・サーバーを守る10の基本

「うちは小さな会社だから、サイバー攻撃なんて関係ない」

そう考えてしまう方も少なくありません。

しかし実際には、サイバー攻撃は企業規模に関係なく発生します。

特に、WordPressでホームページを運営している事業者の場合、WordPress本体だけでなく、管理者アカウント、サーバー、FTP/SFTP、メール、GoogleやMicrosoftのアカウント、バックアップなど、複数の入口をまとめて考える必要があります。

そして、セキュリティ対策で重要なのは「絶対に侵入されない仕組み」を作ることではありません。

現実的には、

① 侵入されにくくする
② 侵入されても被害を広げない
③ 早く気づいて復旧する

という3段構えで考えることが重要です。

この記事では、個人事業主・フリーランス・小規模事業者が最低限確認しておきたいサイバー攻撃対策を、WordPressサイトの運用を中心に解説します。

サイバー攻撃対策は「入口・内部・復旧」の3段階で考える

セキュリティ対策というと、

「ファイアウォールを入れる」

「セキュリティプラグインを入れる」

といった話になりがちです。

もちろん、それらも重要です。

しかし、それだけでは十分ではありません。

重要なのは、次の3段階です。

1．侵入されにくくする

WordPressを最新にする
プラグインを最新にする
強固なパスワードを使う
2段階認証を設定する
FTPではなくSFTPを利用する
不要なアカウントやプラグインを削除する

2．侵入されても被害を広げない

管理者権限を必要最小限にする
サーバーとWordPressのアカウントを分けて管理する
バックアップを別の場所にも保存する
APIキーやパスワードをソースコードに直接書かない
顧客サイトへのアクセス権限を整理する

3．早く気づいて復旧する

ログを確認できるようにする
不正ログインを検知する
ファイル改ざんを確認する
定期的にバックアップを取得する
実際にバックアップから復元できるか確認する
インシデント発生時の対応手順を決めておく

つまり、「防御」だけでなく「被害を限定する仕組み」と「復旧する仕組み」まで用意することが、現実的なセキュリティ対策です。

WordPressサイトで最低限確認したいセキュリティ対策10項目

1．WordPress・プラグイン・テーマを最新の状態にする

WordPressサイトのセキュリティ対策で、まず確認したいのがソフトウェアの更新です。

特に、

WordPress本体
プラグイン
テーマ
PHP
サーバー側のソフトウェア

などは、可能な範囲で適切に更新します。

脆弱性が発見されたプラグインなどを古いまま使用していると、攻撃の入口になる可能性があります。

特に注意したいのが、

フォーム
ファイルアップロード
会員管理
管理画面を拡張するプラグイン
外部サービスと連携するプラグイン

などです。

また、使用していないプラグインやテーマは「停止」するだけではなく、不要であれば削除することも検討しましょう。

使っていない機能を残さないことも、セキュリティ対策の一つです。

2．WordPress管理者アカウントを保護する

WordPressの管理画面は、サイトを管理するための重要な入口です。

まず確認したいのが管理者アカウントです。

避けたい例

admin

administrator

など、推測されやすいユーザー名を使用すること。

そして、パスワードは他のサービスとの使い回しを避け、長く複雑なものを使用します。

可能であれば、**2段階認証（2FA）**も設定しましょう。

また、複数人でサイトを管理する場合は、全員を管理者権限にする必要はありません。

「その人が必要とする権限だけを与える」

という考え方が重要です。

3．WordPressだけでなく、サーバーやメールにも2FAを設定する

ここは非常に重要なポイントです。

WordPressだけを厳重に守っていても、

レンタルサーバー
サーバー管理画面
FTP/SFTP
メール
Googleアカウント
Microsoftアカウント

などが乗っ取られれば、別の経路から被害が発生する可能性があります。

例えば、レンタルサーバーの管理アカウントを攻撃者に奪われると、WordPressそのものを操作される危険性があります。

そのため、

「WordPressのパスワードを強くする」だけではなく、サイトを取り巻くアカウント全体を守る

という発想が必要です。

4．FTPではなくSFTPを利用する

Webサイトのファイルをサーバーへ転送するときは、可能であれば通常のFTPではなく、SFTPなど暗号化された接続方法を利用します。

また、サーバーの接続情報を、

デスクトップのテキストファイル
メール本文
メモ帳
クラウド上の誰でもアクセスできる場所

などに平文で保存するのは避けましょう。

パスワード管理ツールなどを利用し、必要な情報を安全に管理することが重要です。

5．バックアップは「3-2-1」を意識する

サイバー攻撃対策では、バックアップが非常に重要です。

ただし、

「バックアップを取っているから安心」

とは限りません。

例えば、攻撃者にサーバーの管理権限を奪われた場合、サーバー上に保存しているバックアップまで削除される可能性があります。

そのため、重要なサイトでは、

3-2-1バックアップ

という考え方が参考になります。

本番サイト
   ↓
サーバー上のバックアップ
   ↓
別の媒体・クラウドなどにもバックアップ

重要なのは、

「本番サイトとは別の場所に復旧用データを持っておくこと」

です。

6．バックアップは「復元できるか」まで確認する

これも非常に重要です。

「バックアップがあります」

と、

「そのバックアップからサイトを復旧できます」

は同じではありません。

バックアップファイルが存在していても、

データベースが正常に保存されていない
画像などのアップロードファイルが不足している
復元手順が分からない
PHPやWordPressの環境が変わっている
バックアップ自体が壊れている

といった問題があれば、復旧できない可能性があります。

そのため、重要なサイトでは定期的に、

実際に復元できることを確認する

ことが大切です。

7．メールアカウントもセキュリティ対策を行う

サイバー攻撃では、メールも重要な攻撃経路になります。

例えば、

「パスワードをリセットしてください」

「請求書を確認してください」

「アカウントが停止されます」

といったメールから、偽サイトへ誘導されるケースがあります。

基本的な対策として、

メールアカウントに2FAを設定する
不審な添付ファイルを開かない
不審なリンクをクリックしない
パスワードを使い回さない
パスワードリセットメールを慎重に確認する

といった対策を行います。

さらに、独自ドメインのメールを運用している場合は、

SPF・DKIM・DMARC

についても確認しておきましょう。

これらは、なりすましメール対策やメール送信元の信頼性向上に関係する重要な仕組みです。

8．仕事で使うPCそのものを守る

WordPressのセキュリティばかり考えて、PCの対策を忘れてはいけません。

Web制作者やフリーランスの場合、

PCが仕事のすべての入口になっている

ケースがあります。

PCが乗っ取られれば、

WordPressのログイン情報
サーバー情報
FTP/SFTP情報
メール
Googleアカウント
Microsoftアカウント
APIキー
クライアントのデータ

などが危険にさらされる可能性があります。

最低限、

Windows Updateを適用する
Microsoft Defenderなどのセキュリティ機能を有効にする
ブラウザを最新版にする
不要なブラウザ拡張機能を入れない
海賊版・出所不明のソフトを使用しない
OSの管理者権限を普段使いしない

といった対策を行いましょう。

9．WordPressやサーバーのログを確認できる状態にする

「何かおかしい」と気づいたとき、原因を調べるためにはログが重要です。

例えばWordPressサイトでは、

不正ログイン
管理者ユーザーの追加
プラグインの変更
テーマの変更
ファイルの改ざん
不審なアクセス
大量のログイン試行

などを確認できる状態にしておくと、異常の早期発見につながります。

特に複数の顧客サイトを管理するWeb制作者の場合、**「問題が起きてから調べる」のではなく、「異常を追跡できる状態をあらかじめ作っておく」**ことが重要です。

10．サイバー攻撃を受けたときの対応手順を決めておく

どれだけ対策していても、攻撃を完全にゼロにすることはできません。

だからこそ、

「攻撃されたらどうするか」

を事前に決めておきます。

例えば、次のような流れです。

不正アクセス・改ざんを発見
        ↓
被害範囲を確認
        ↓
必要に応じて管理画面・サーバーへのアクセスを制限
        ↓
管理者・サーバー・メールなどの認証情報を変更
        ↓
ログを確認
        ↓
改ざん箇所・不正ファイルを確認
        ↓
脆弱性の原因を特定
        ↓
クリーンなバックアップから復旧
        ↓
WordPress・プラグインなどを更新
        ↓
再発防止策を実施

重要なのは、慌てて何でも削除しないことです。

状況によっては、調査に必要なログやファイルまで消してしまう可能性があります。

被害が大きい場合や、顧客情報・個人情報などが関係する場合は、専門家やサーバー会社などへの相談も検討してください。

OTO dESIGNのようなWeb制作者は「顧客サイト」まで考える

ここからは、Web制作を仕事にしている方にとって特に重要な話です。

自分のサイトだけを守ればいいわけではありません。

クライアントのWordPressサイトを管理している場合、次のような経路全体を考える必要があります。

             ┌─ Googleアカウント
             │
PC ─────────┼─ Microsoftアカウント
             │
             ├─ メール
             │
             └─ サーバー管理
                    │
                    ├─ SFTP
                    │
                    └─ WordPress
                          │
                          ├─ 管理者
                          ├─ プラグイン
                          ├─ ACF
                          └─ フォーム

例えば、自分のPCに保存しているサーバー情報が漏れれば、顧客サイトまで影響する可能性があります。

逆に、顧客サイトの管理権限を持っている場合、自分自身がセキュリティ上の責任を負う場面も出てきます。

そのためWeb制作者には、

「自分のセキュリティ」と「顧客サイトのセキュリティ」を分けて考えながら、全体として管理する

という視点が必要です。

AI時代は「APIキー」の管理も重要

近年は、Web制作や業務改善でAIサービスを利用するケースも増えています。

例えば、

OpenAI API
Google Gemini API
Claude API
その他の外部API

などです。

ここで注意したいのがAPIキーの管理です。

APIキーを、

HTML
JavaScript
GitHub
公開フォルダ
ブログ記事
スクリーンショット

などに直接書いてはいけません。

漏洩したAPIキーを第三者に使用されれば、想定外の利用料金が発生する可能性があります。

AIを仕事で活用する場合も、

「AIを使うこと」だけではなく「AIサービスへの接続情報をどう守るか」

まで考える必要があります。

小規模事業者に高価なセキュリティ製品は必要？

必ずしもそうとは限りません。

もちろん、事業規模や扱う情報によって必要な対策は変わります。

しかし個人事業主や小規模事業者の場合、まずは、

ソフトウェアを更新する
強固なパスワードを使う
2FAを設定する
不要なアカウントを削除する
SFTPを使う
バックアップを別の場所に保存する
復元テストを行う
PCを最新の状態にする
APIキーを安全に管理する
異常を確認できるログを残す

といった基本的な対策を確実に実施することのほうが重要です。

セキュリティは「高価な製品を入れれば終わり」ではありません。

WordPressサイト公開前のセキュリティチェックリスト

サイト制作・リニューアルの際には、次の項目をチェックしておくと安心です。

WordPress

WordPress本体が最新
プラグインが最新
不要なプラグインを削除
不要なテーマを削除
管理者アカウントを確認
管理者権限を必要最小限に設定
強固なパスワードを使用
2FAを設定

サーバー

サーバー管理アカウントを保護
2FAを設定
FTPではなくSFTPなどを使用
不要なFTPアカウントを削除
サーバー情報を安全に管理

バックアップ

WordPressファイルをバックアップ
データベースをバックアップ
本番環境とは別の場所にも保存
復元テストを実施

PC・アカウント

Windows / macOSを最新にする
ブラウザを最新にする
セキュリティソフトを有効化
Google / Microsoftアカウントを保護
メールアカウントに2FAを設定

AI・API

APIキーを公開ファイルに記述していない
APIキーをGitHubなどに公開していない
不要なAPIキーを無効化
API利用状況・料金を確認できる状態にする

まとめ｜サイバー攻撃対策は「完璧」より「被害を小さくする仕組み」

サイバー攻撃に対して、

「絶対に侵入されないようにする」

という考え方だけでは限界があります。

重要なのは、

① 侵入されにくくする

② 侵入されても被害を広げない

③ 早く気づいて復旧する

という3段階で対策することです。

特にWordPressを使っている小規模事業者やWeb制作者の場合、WordPressだけではなく、

PC → Google / Microsoft → メール → サーバー → WordPress → 顧客サイト → バックアップ

という一連の経路をまとめて考えることが重要です。

そして、バックアップについても、

「バックアップがある」ではなく「実際に復旧できる」

ことを確認しておきましょう。

Webサイトは「作って公開したら終わり」ではありません。

安全に運用し、万一のときには早く復旧できる状態まで含めて、Webサイトの管理です。

よくある質問（FAQ）

Q. 小規模事業者でもサイバー攻撃の対策は必要ですか？

はい。企業規模に関係なく、WordPressやメール、サーバーなどのアカウントが攻撃対象になる可能性があります。特に、基本的なセキュリティ対策が不足しているサイトは注意が必要です。

Q. WordPressにセキュリティプラグインを入れれば安全ですか？

セキュリティプラグインだけで完全に安全になるわけではありません。WordPressやプラグインの更新、強固なパスワード、2FA、サーバーの保護、バックアップなどを組み合わせて対策することが重要です。

Q. WordPressのバックアップだけあれば大丈夫ですか？

いいえ。攻撃者にサーバーの管理権限を奪われた場合、サーバー上のバックアップまで削除される可能性があります。重要なバックアップは、本番環境とは別の場所にも保存することをおすすめします。

Q. バックアップはどのくらいの頻度で取ればいいですか？

更新頻度やサイトの重要性によって異なります。頻繁に更新されるサイトほど、より短い間隔でバックアップを取得する必要があります。また、取得頻度だけでなく、実際に復元できることを確認することも重要です。

Q. FTPは使わないほうがいいですか？

可能であれば、暗号化されたSFTPなどの接続方法を利用することをおすすめします。利用していないFTPアカウントや接続方法がある場合は、不要なものを整理することも重要です。

Q. 2段階認証はどこに設定すればいいですか？

WordPressだけでなく、サーバー管理画面、Google、Microsoft、メールなど、重要なアカウントにも設定することをおすすめします。

OTO dESIGNでは「制作後の運用」まで考えたWebサイトを

Webサイトは、公開した瞬間に完成するものではありません。

WordPressの更新、バックアップ、フォーム、サーバー、アクセス権限など、公開後の運用も重要です。

特に企業サイトや店舗サイトでは、サイトが停止したり改ざんされたりすると、問い合わせや営業活動にも影響する可能性があります。

OTO dESIGNでは、ホームページ制作・WordPress構築だけでなく、AIを活用した業務改善やWebサイト運用についても、実際の業務に合わせて考えていきます。

「作る」だけではなく、「安全に使い続けられるWebサイト」へ。

それが、これからのWeb制作に必要な視点だと考えています。