WordPressサイトの、ランサムウェア感染。

2016年の事例。

WordPressサイトを閲覧しただけで、ランサムウェアに感染。

WordPressで作られたサイトを「見ただけでマルウェアに感染する」というケースが報告されている。

ユーザーがWordPressサイトを訪問したところ、改ざんされたWebサイトのJavaScriptが自動的に実行され、「エクスプロイトキットサーバー」という別のサーバーへリダイレクトされ、結果的に金銭を要求されたとのこと。

また、古いバージョンのAdobe Flash Player（現在は無くなっているソフト）、Adobe Reader、Internet Explorer（現在は無くなっているブラウザ）を使っているユーザーが、脆弱性をつかれてランサムウェアに感染したとのこと。

この事例の解決策。

正直なところ、上記のような説明があっても、ユーザー側としては専門的な言葉が多くて理解が難しい。

ただし解決策は、難しくない。

古いソフトや古いバージョンのものは、なにかしらセキュリティの警告が出ているはず。なのでそのような古いものは使用しない、もしくは可能な限りバージョンアップすると予防できる。

なにもしないで使い続けるということは、例えるなら、車検を受けずに自動車に乗り続けているようなもの。

WordPressの、REST APIの脆弱性による大規模改ざん。

2017年の事例。

WordPress4.7.0と4.7.1のREST APIに存在した脆弱性を利用し、権限のない第三者がWebサイトのコンテンツを改ざんすることが可能だった。

このときは世界中で約150万超のサイトが被害を受けている。

この事例の解決策。

WordPressのバージョンを、修正された「4.7.2」へアップデートすることにより解決。

この場合はユーザー側の対処は事後となってしまうが、WordPress運営者が基本的なセキュリティ対策を行なっていれば予防できた可能性が高い。

WordPressプラグインの、脆弱性を狙った攻撃。

2017年の事例。

「WP Job Manager」は、企業などの求人情報用のWordPressプラグイン。

このプラグインの脆弱性を利用して、攻撃者が管理者権限を取得し、サイトを乗っ取る事例があった。

第三者によりなんからの画像が勝手にアップロードされる可能性があり、実際に悪用した改ざんの情報も複数報告されていた。

この事例の解決策。

WP Job Managerのバージョンを、修正された「1.26.2」へアップデートすることにより解決。

これもWordPress運用者が、基本的なセキュリティ対策をすることでおそらく防げた事例。なのでWordPressのマイナーアップデートだけで解決にいたっている。

WordPressサイトの、偽のランサムウェア感染。

偽のランサムウェア。

2021年の事例。

WordPressの管理者権限を窃取してWebサイトに侵入。そして「Directorist」というプラグインの一部を書き換え、サイトがランサムウェアに感染したように見せかけたとのこと。

データを暗号化せず、暗号化したように見せかける「フェイクのランサムウェア」であり、サイト所有者に対し、ビットコインでの支払いを要求されている。

この事例の解決策。

これもWordPress運用者の基本的なセキュリティ対策をによりおそらく防げた事例。

WordPressの管理者権限を奪われるということは、例えば車の鍵を盗まれるようなこと。

WordPressのユーザー名とパスワードを複雑に。

これはシンプルに、ユーザー名とパスワードは複雑なものにする。

例えばバイクのチェーンロックは、100円ショップの簡易的なものよりも、バイク購入店の頑丈なものの方が安全。

50万円、100万円レベルで購入したバイクに、100円の鍵は普通はつけない。

もし文字列に迷った場合は、自動的にパスワード生成ができるサイトがある。

また、保存はChromeやSafariなどのブラウザ機能を利用すると便利。

WordPress管理画面へのアクセス制限を。

WordPress管理画面は、デフォルトではわかりやすいものになる。

なので、.htaccessファイルやWordPressプラグインを利用すれば良い。どの方法にするかはWordPress制作者に任せた方が無難。

ファイルパーミッションを適切に。

WordPressのファイル類のパーミッションは、大体決まったものがある。

ただしサーバーごとに若干の違いがあるので、サーバー担当者やサーバー会社のサイトなどで確認し、FTPソフトやサーバーのコントロールパネルから適切なものに設定する。

これはWordPress構築時に行うもので、サイト公開後に触ることは基本的にはないはず。

（※もし触る必要がある場合は、WordPress制作者へ相談。）

WordPress本体を最新バージョンに。

現在のWordPressは自動アップデート機能があるので、自動にしておけば良い。

（※自動アップデートができない理由がある場合は、WordPress制作者へ相談。）

WordPressプラグインを最新バージョンに。

同じく現在のプラグインにも、自動アップデート機能がある。

（※自動アップデートができない理由がある場合は、WordPress制作者へ相談。）

セキュリティプラグインの利用。

WordPressには信頼度の高いセキュリティプラグインがある。それを利用するか、もしくは専門業者へ依頼する。

定期的なバックアップ。

バックアップは予防にはならないが、事後で必要となる。これもサーバーやプラグインで、自動的に行える。

WordPressのセキュリティは、自動設定で対策できる。

WordPressサイトを制作する際には上記のような設定が必要だが、出来上がったWordPressサイトを運用する際は、自動設定で多くの事態へ対処できる。

WordPressは制作費が高いと言われることもある。

が、その中には目に見えない、セキュリティ対策とSEO対策の知識や作業時間が含まれている。