放置したWordPressが危険な理由｜乗っ取りの実例

01はじめに｜「特に何もしていないサイト」がいちばん狙われます

要点： 攻撃者は会社の規模や業種を見て相手を選んでいません。古いまま公開されているサイトを機械的に探し出し、見つかった順に試しています。だから「うちは小さいから大丈夫」は理由になりません。

「作ってから5年ほど、特に何もしていません」。他社で作られたサイトのご相談をいただくと、この一言から始まることがよくあります。悪いことをしたわけではありません。困っていなかっただけです。

ただ、WordPressは公開したまま置いておくと安全な状態にとどまってくれる仕組みではありません。本体もテーマもプラグインも、それぞれ別の開発者が別のペースで更新を出し続けています。つまり、アップデートを適用せずにそのまま放置している期間は、その長さだけ「セキュリティ上の 既知の弱点（脆弱性）を抱えたままWeb上で稼働し続けている期間」を意味することになります。

この記事は、対策の手順書ではありません。放置したサイトの中で実際に何が起きているのかを、警察庁に寄せられている相談事例と、私たちが引き継ぎのときに見てきた中身から順にお見せします。手を動かす前に、まず現状を知っていただくための記事です。

具体的な守り方はWordPressのセキュリティ対策で最低限やるべき項目にまとめています。費用の話が気になる方はホームページ保守費用の相場もあわせてご覧ください。

なおZenWeb Japanは2000年創業のWeb制作会社です。他社で作られたサイトを引き継ぐご依頼も多く、その最初の点検で見つかるものには、はっきりした傾向があります。

まずは、放置されたWordPressで実際にどんな対策が抜けているのかを、次の動画で確認してみてください。

02WordPress 放置 リスクの正体｜相手は人ではなく、自動の巡回です

要点： WordPress 放置 リスクの中身は、狙い撃ちではなく総当たりです。公開された弱点の情報をもとに、機械が世界中のサイトを回って古いものを見つけます。会社の知名度は関係ありません。

「うちのサイトに盗まれて困る情報はない」と考える方は多いのですが、攻撃する側の目的は情報とはかぎりません。乗っ取ったサイトそのものに、次のような使い道があるからです。

• 悪質サイトへの入口にする。 見た目はそのままで、特定の条件のときだけ訪問者を別のページへ飛ばします。
• 迷惑メールの送信元にする。 サーバーから大量のメールを送らせ、自社ドメインの信用を下げます。
• マルウェアの置き場にする。 訪問した人のパソコンを感染させるファイルを置きます。
• 検索順位を横取りする。 見えない場所に無関係なページを作り、そのサイトの評価を使って上位表示させます。

警察庁も、ウェブサイトの改ざんについて「窃取したアカウント情報を悪用した不正アクセス」「ソフトウェアのぜい弱性を悪用したもの」「アクセス制御機能の不備を悪用したもの」の3つを主な手口に挙げています。3つのうち2つは、更新と設定の管理で塞げるものです。つまり放置されたサイトは、価値があるから狙われるのではなく入りやすいから使われるのです。守り方はWordPress制作のサービスページでも扱っています。

03データで見る｜弱点はどこで見つかっているのか

要点： 報告される脆弱性のほとんどはプラグインで見つかっています。WordPress本体はむしろ堅く、危ないのは「あとから足したもの」です。追加した機能の数だけ、見る対象が増えます。

脆弱性データベースを運営するPatchstackの2025年上半期レポートによると、この半年だけでWordPressのエコシステム全体で6,700件の新しい脆弱性が確認されました。そのうち41.5％は、実際の攻撃に使えると判断されています。前年の30.4％から上がっており、数だけでなく深刻さも増している状況です。

次の表は、同レポートでPatchstackの研究者とバグバウンティ参加者が報告した3,431件の内訳です。どこに弱点が集まっているかがはっきり出ています。

もうひとつ押さえておきたい数字があります。報告された脆弱性の57.6％は、ログインなしで悪用できる種類でした。パスワードを強くしても、この層は防げません。塞ぐ方法は更新だけです。なお更新が続いているテーマを選べば負担は軽くなります。判断の基準はWordPressのテーマの選び方で整理しました。

04更新しない 危険はどこから始まるのか｜3つの層が同時に古くなります

要点： 更新しない 危険は、更新ボタンを押さないことだけを指しません。WordPress本体・プラグイン・サーバーのPHPという3つの層が、それぞれ別のペースで古くなっていきます。1つを止めると、他も止まります。

更新が止まる理由は、たいてい「怖いから」です。押した瞬間に表示が崩れた経験があると、次から触れなくなります。ただ、止めている間に古くなるのは1か所ではありません。

1. WordPress本体。 数か月おきに大きな更新が出ます。古いままだと、新しいプラグインが動かなくなります。
2. プラグインとテーマ。 ここがいちばん頻繁で、いちばん危ない層です。開発が終わって配布停止になるものもあります。
3. サーバーのPHP。 サポートが切れたPHPを使い続けると、サーバー会社から強制的に上げられる日が来ます。そのとき古いWordPressは動きません。

この3つは互いに支え合っています。だから「本体だけ上げる」といった部分的な運用は、時間が経つほど成り立たなくなります。1年放置したサイトの更新は、1回のクリックでは終わりません。自作したサイトほど、この段階で手が止まりがちです。よくある止まり方はWordPressを自作して挫折する典型パターン、公開後の全体像はホームページ公開後の運用・更新の基本にまとめています。

05データで見る｜放置した期間ごとに、中で起きていること

要点： 放置の影響は段階的に変わります。半年までは通知がたまるだけ、1年を越えると機能が動かなくなり、2年を越えると身に覚えのないファイルやアカウントが見つかり始めます。

私たちが他社制作のWordPressサイトをお預かりするとき、最初に管理画面とサーバーの中身を確認します。そのとき記録している「更新が止まっていた期間」と「見つかった状態」を並べると、次のようになりました。

注目していただきたいのは、1年目までは見た目に異常が出ない点です。トップページはきれいに表示され、記事も読めます。だから安心してしまいます。異常が表に出るのは、たいてい2年目以降です。あわせて、放置されたサイトは表示速度もスマホでの見え方も同時に古くなります。詳しくはスマホ対応していないホームページのリスクをご覧ください。

06改ざん 被害は「見た目が変わること」だけではありません

要点： 改ざん 被害というと画面が書き換わる姿を思い浮かべますが、実際に多いのは見た目が変わらない型です。気づかれないほうが長く使えるため、あえて何も変えない改ざんが選ばれます。

「トップページに変な画像が出たら気づくはずです」。よく言われますが、そこまで派手なものは少数派になりました。実際に見つかる改ざんは、次のような形が中心です。

• 条件付きの転送。 検索結果から来た人だけ、あるいはスマートフォンの人だけを別サイトへ飛ばします。社内のパソコンで開くと正常に見えます。
• 見えないページの大量生成。 通常の階層とは別の場所に、無関係な言語のページが数千単位で作られます。
• 管理者アカウントの追加。 ふつうの名前のユーザーが1つ増えているだけですが、権限は管理者です。
• ファイルの静かな書き換え。 テーマの1ファイルに数行足されるだけで、動きとしては十分です。

警察庁が公開している相談事例も、この静かさをよく表しています。「ウェブサイトが改ざんされていると顧客から連絡があった」「ホームページを閲覧していたらウイルスを検知したと顧客から連絡があった」という形で、いずれも社外からの指摘で発覚しました。つまり改ざんの怖さは、被害そのものより気づくまでの時間にあります。その間、サイトは会社の名前で動き続けています。

07データで見る｜異常に気づいたのは、誰だったのか

要点： 改ざんに気づくきっかけは、社外からの指摘がもっとも多くなっています。社内で先に気づけたケースは1割にとどまりました。自分では見つけにくいことが、数字にも出ています。

改ざんや不正アクセスのご相談をいただいたとき、私たちは必ず「どうやって気づかれましたか」とうかがいます。その答えを整理すると、次のようになりました。

社内で先に気づけたのは8％。残りの9割は、外から教えられてから知りました。

この数字が示すのは被害の深刻さではなく、発覚の順番です。取引先から「御社のサイト、変ですよ」と言われる。その瞬間に失われるのは、データではなく信用のほうです。

08乗っ取り 事例｜警察庁の相談事例に見る3つの型

要点： 実際の乗っ取り 事例は、大きく3つの型に整理できます。管理画面が奪われる型、個人情報が抜かれる型、訪問者にウイルスをばらまく型です。いずれも社外からの連絡で発覚しています。

警察庁のサイバー警察局が公開している相談事例は、実際に企業から寄せられた内容です。ここでは、その3件を型として読み解きます。

1. 管理画面を奪われる型。 顧客からの連絡で改ざんに気づき、確認すると見覚えのない画像が掲載され、管理画面にも入れなくなっていました。復旧の入口そのものを塞がれる形です。
2. 個人情報が流出する型。 ECサイトが攻撃を受け、氏名・生年月日・住所・電話番号などが外部に流出した形跡が見つかりました。事業への影響がもっとも大きい型です。
3. 訪問者を感染させる型。 「ホームページを見ていたらウイルスを検知した」と顧客から連絡が入り、サーバーを確認するとマルウェアが置かれていました。加害側になってしまう型です。

3件に共通しているのは、すべて社外からの連絡で発覚している点です。前の章のデータとまったく同じ形になっています。

とくに2つ目の型は、影響が社内で終わりません。個人情報が漏れた可能性があるときは、個人情報保護法にもとづく報告や本人への通知が必要になる場合があり、サイトの復旧よりそちらの対応が重くなります。何から手をつけるか迷う場合は、WordPressのセキュリティ対策の7項目から着手してください。

09データで見る｜復旧にかかる期間と費用の目安

要点： 復旧の負担は、被害の程度よりバックアップの有無で大きく変わります。正常なバックアップが残っていれば数日で戻せますが、残っていなければ作り直しに近い作業になります。

次の表は、中小企業のコーポレートサイトを想定したモデル試算です。実際の金額は状態によって変わりますが、段階ごとの差の大きさは実感に近いはずです。

この表でいちばん大きいのは金額の差ではなく、止まっている期間です。重度になると、サイトが2ヶ月近く使えません。その間は問い合わせも採用の応募も入ってきません。月額のメンテナンス費用と比べれば差は明らかで、相場はホームページ保守費用の月額の内訳にまとめています。作り直しになった場合はホームページ制作の費用相場が近い数字になります。

10脆弱性 放置が検索順位と売上に影響するまで

要点： 脆弱性 放置の影響は、セキュリティの話にとどまりません。改ざんされたサイトは検索結果に警告が付き、順位も落ちます。元に戻すには、駆除だけでなく解除の申請も必要になります。

改ざんが起きると、まず検索エンジンが先に気づきます。Googleは危険と判断したページに警告を表示し、検索結果からの流入をほぼ止めます。ブラウザ側でも赤い画面が出ます。

やっかいなのは、元に戻すまでの手順が一本道ではない点です。

• 駆除して終わりではありません。 不正なファイルを消したあと、Search Consoleから審査のリクエストを出す必要があります。
• 審査には時間がかかります。 申請してから警告が消えるまで、数日待つことも珍しくありません。
• 順位はすぐには戻りません。 警告が消えても、落ちた検索順位が回復するまでには期間が必要です。
• ドメインの評価にも残ります。 迷惑メールの送信元にされていた場合、メールが届きにくい状態がしばらく続きます。

つまり、被害の総額は復旧費用では測れません。止まっていた期間に取れなかった問い合わせが、そこに乗ります。検索での見え方を守る考え方はリニューアル時のSEO移行チェックリストにも共通します。

11すでに乗っ取られていないか確かめる方法

要点： いまの状態を確かめるだけなら、専門知識がなくてもできます。検索での見え方、管理者一覧、更新の状況の3か所を見れば、危ない兆候の多くは拾えます。

対策を始める前に、まず現在地を確認してください。順番に進めれば15分ほどで終わります。

1. 検索で自社ドメインの中身を見る。 検索窓に「site:自社のドメイン」と入力します。警察庁も、自社の業務とまったく関係のないページが出てくれば改ざんの可能性が高いと説明しています。
2. 管理者アカウントの一覧を見る。 管理画面の「ユーザー」を開き、心当たりのない管理者が増えていないかを確認します。退職者の権限が残っていないかも同時に見てください。
3. 更新の状況を数える。 ダッシュボードに出ている更新の数と、プラグインごとの「最終更新日」を見ます。1年以上更新されていないプラグインは要注意です。
4. Search Consoleの通知を確認する。 「セキュリティと手動による対策」の項目に警告が出ていないかを見ます。登録していない場合は、この機会に登録してください。
5. スマートフォンから見てみる。 社内のパソコンではなく、外の回線のスマートフォンで検索結果から自社サイトを開きます。条件付きの転送は、この見方でしか出ないことがあります。

気になるものが見つかった場合は、自分で消す前にご相談ください。消すと原因を追う手がかりも一緒に消えます。警察庁も、被害に遭った場合はログを保全したうえで最寄りの警察署やサイバー犯罪相談窓口に相談するよう案内しています。何も見つからなかった方は、次は守る側の準備です。最低限やるべきセキュリティ対策へ進んでください。

12放置を止めるには｜「誰が見るか」を決めるところから

要点： 放置が続く原因は、知識不足よりも担当が決まっていないことにあります。誰が、どのくらいの頻度で、何を見るか。この3つを決めるだけで、状態はかなり変わります。

「詳しい人がいないので」とおっしゃる方は多いのですが、実際に多いのは担当が決まっていないケースです。前任者が異動したまま、管理画面のパスワードだけが引き継がれている。この状態がいちばん長く放置されます。決めておきたいのは次の3点です。

• 誰が見るか。 社内で担当を置くか、制作会社に預けるか。どちらでもかまいませんが、名前が入っている必要があります。
• どのくらいの頻度で見るか。 月1回で十分です。更新の適用とバックアップの確認だけなら30分もかかりません。
• 異常のときに誰へ連絡するか。 事故のときにその場で探し始めると、初動が半日遅れます。

社内で持つ場合の負担は、思ったより小さくなります。逆に、更新の判断や不具合の切り分けまで含めるなら外に預けたほうが早く済みます。判断の材料はWordPress制作・保守のサービス内容にまとめました。

13まとめ｜WordPress 放置 リスクは静かに大きくなります

要点： WordPress 放置 リスクは、見た目が変わらないまま進みます。1年目までは気づけず、2年目から異常が出始め、発覚は9割が社外からです。まず現在地の確認から始めてください。

この記事で見てきたことを並べます。

• 攻撃は選別ではなく巡回です。会社の規模や知名度は関係ありません。
• 弱点の約9割はプラグインで見つかっています。半分以上はログインなしで悪用できます。
• 放置1年目までは見た目が変わりません。異常が出るのは2年目以降です。
• 改ざんに社内で気づけたのは8％。9割は社外から知らされています。
• 復旧の負担を決めるのはバックアップの有無です。重度になると2ヶ月近く止まります。

放置は判断ミスというより時間の問題で、誰も悪くないまま進みます。だからこそ、止めるきっかけも自分で作るしかありません。まずはセキュリティ対策の7項目を上から順に確認するところからで十分です。手が回らない場合は、そのままお預かりする形もあります。

14よくある質問

要点： 放置したWordPressについて、実際によくいただく質問をまとめました。更新の頻度や、止まっていた期間からの再開についてお答えします。

1. 何年放置すると危ないと考えればよいですか

期間で線を引くより、状態で見てください。私たちの記録では、更新が2年以上止まっていたサイトの13％で身に覚えのないファイルやアカウントが見つかっています。ただし1年を過ぎたあたりから、更新を再開する作業自体が重くなります。

2. 更新すると表示が崩れそうで、怖くて押せません

その心配は正しいものです。バックアップを取り、テスト用の環境で試してから本番に当てるのが基本の順番になります。長く止まっている場合は、一度に上げず段階的に進めます。この手順が不安なときは、最初の1回だけでもご相談ください。

3. アクセスの少ないサイトでも狙われますか

狙われます。攻撃は人がサイトを選んでいるのではなく、自動の巡回が古いサイトを見つけて回っています。アクセス数は判断材料になっていません。むしろ、見る人が少ないサイトのほうが異常に気づかれにくく、長く使われます。

4. 使っていない古いプラグインは、停止しておけば安全ですか

停止だけでは不十分です。停止した状態でもファイルはサーバーに残っており、種類によってはそのまま悪用されます。使わないものは停止ではなく削除してください。テーマも同じで、使っていないものは残さないほうが安全です。

5. 長く放置したサイトのメンテナンスだけをお願いできますか

お受けできます。まず現在の状態を確認し、更新できる形に整えてからお預かりする流れです。改ざんの形跡が見つかった場合は、メンテナンスを始める前に原因の確認と復旧を先に行います。他社で作られたサイトでも対応しています。