1 of 13

安全なWebサイト運営と� セキュリティ対策

不正侵入事例から学ぶ、鉄壁の守り方

2 of 13

発生した事例の概要

状況

WordPressとHTMLが混在するWebサイトにて、不正なファイルが埋め込まれる被害が発生しました。

原因の特定

調査の結果、サーバー（Xserver）の設定で「WAF（Webアプリケーションファイアウォール）」が無効になっていたことが、攻撃者の侵入を許す主要因と判明しました。

3 of 13

1. プラグインの脆弱性

古いプラグインのセキュリティホールを狙った攻撃。WAFがあれば防げた可能性が高いです。

2. パスワード総当たり

管理画面へのブルートフォース攻撃。単純なパスワードや「admin」ユーザーの使用がリスクです。

3. WP本体の更新漏れ

WordPressのバージョンが古いと、既知の脆弱性がそのまま放置され、攻撃の標的になります。

4. 管理者PCの感染

PCがウイルス感染しFTP情報が流出。この場合、サーバー側のWAFでは防げないこともあります。

侵入原因の可能性（高い順）

4 of 13

Webサイトを守る「盾」

WAFは、Webサイトへのアクセス内容をリアルタイムで検査し不正な攻撃パターン（SQLインジェクションやクロスサイトスクリプティングなど）を検知して遮断する仕組みです。

なぜ必要か？

例えるなら、家の鍵（パスワード）をかけていても、窓ガラス（脆弱性）が開いていれば泥棒に入られます。WAFは、その窓に鉄格子をはめ、不審者の侵入を未然に防ぐ役割を果たします。

WAF（Web Application Firewall）とは？

5 of 13

攻撃者（ボット）の動き

世界中のWebサイトに対し、24時間365日、機械的に「ドアノブを回す」ような攻撃が行われています。特定のプラグインの古いバージョンを見つけると、即座に不正プログラムを送り込みます。

WAF OFF のリスク

WAFがOFFの場合、この「不正プログラムの送信」がノーチェックで通過してしまいます。結果として、管理者が気づかないうちにバックドア（裏口）を設置され、サイトを乗っ取られます。

脆弱性を突かれるメカニズム

6 of 13

隔離・停止

サイトをメンテナンスモードにし、被害拡大を防ぐ。

パスワード変更

FTP、DB、管理画面の全パスワードを強力なものへ。

駆除・更新

不正ファイル削除と、全ソフトウェアの最新化。

WAF ON

Xserver管理画面でWAF設定を全て有効化。

侵害発生時の初動対応フロー

7 of 13

更新は最強の防御

WordPress本体、テーマ、プラグインは常に最新版を保ってください。アップデート通知が来たら、可能な限り早く適用することが重要です。

特に「使用していないプラグイン」は削除してください。停止していてもファイルがサーバーにあるだけで攻撃対象になります。

対策1：ソフトウェアの常時更新

8 of 13

パスワードの複雑化：英大文字・小文字・数字・記号を混ぜ、推測不可能な文字列にする。

ユーザー名の変更：「admin」というユーザー名は格好の標的です。独自のユーザー名に変更しましょう。

ログイン試行回数制限：Xserverの機能やプラグインを活用し、何度もパスワードを間違えるアクセスをブロックします。

2段階認証 (2FA)：万が一パスワードが漏れても、スマホ認証がなければ入れないようにします。

対策2：認証の強化

9 of 13

対策3：サーバーと端末の管理

Xserverの管理パネルでWAF設定を必ず「ON」にしてください。

またFTPを使用するPCには必ずウイルス対策ソフトを入れOSを最新に保ってください。PCからのパスワード流出（ガンブラー攻撃）も依然として脅威です。

10 of 13

WAFを導入し、基本対策を徹底することで、攻撃成功率を劇的に下げることができます。

セキュリティ対策の効果比較

11 of 13

1

WAF常時ON

サーバー側の防御機能を最大限活用する

2

即時更新

プラグイン・本体を常に最新に保つ

3

定期確認

ログ確認と不要ファイルの削除を習慣化

今後の運営指針：3つの柱

12 of 13

ご質問はありますか？

セキュリティは「一度やって終わり」ではなく継続が重要です。

安全なWebサイト運営のために、チーム全体で意識を高めていきましょう。

13 of 13

https://img.freepik.com/premium-vector/vector-binary-code-dark-background-big-data-programming-hacking-decryption-encryption-computer-numbers-1-0-coding-hacker-concept-analog-tv-glitch-moire-texture-no-signal-noise_167184-368.jpg?w=360

Source: www.freepik.com

https://img.freepik.com/premium-photo/global-digital-security-protection-concept-with-glowing-digital-shield-with-keyhole-sign-technological-sphere-abstract-dark-background-3d-rendering-mockup_670147-803.jpg

Source: www.freepik.com

https://static.vecteezy.com/system/resources/previews/019/047/313/large_2x/software-upgrade-and-update-concept-optimization-in-the-new-version-and-improve-security-hardware-upgrade-technology-always-up-to-date-man-update-new-system-through-a-virtual-screen-photo.jpg

Source: www.vecteezy.com

https://www.diltechnology.com/wp-content/uploads/2024/12/datacenter-dil-technology-750x750.jpg

Source: www.diltechnology.com

Image Sources