Web Guide
Web集客の教科書
中小企業のホームページに必要なセキュリティ対策7つ｜放置すると何が起きるか
WordPressの更新を放置していませんか？管理画面のパスワードは安全ですか？CREVIAでは、セキュリティ対策込みのホームページ制作・保守管理を行っています。
「うちは小さい会社だから、サイバー攻撃なんて関係ない」——そう思っていませんか。実は、サイバー攻撃の約7割は中小企業を標的にしています。大企業はセキュリティ対策が堅固だからこそ、対策が手薄な中小企業の方が「狙いやすい」のです。
ホームページが攻撃を受けると、サイトの改ざん・個人情報の流出・Googleからの検索除外が起きます。復旧には数十万円〜数百万円かかることもあり、お客様からの信頼は一度失うと取り戻すのに年単位の時間がかかります。
本記事では、中小企業のホームページ（特にWordPress）で今すぐやるべきセキュリティ対策を7つに絞って解説します。専門知識がなくても対応できるものから順番に紹介するので、1つずつ実行してください。
📋 この記事でわかること
- 中小企業のホームページが狙われる理由
- ホームページが攻撃されたときに起きる3つの被害
- 今すぐやるべきセキュリティ対策7つ（優先順位付き）
- WordPress利用者向けの具体的な対策手順
- セキュリティ対策にかかる費用の目安
中小企業のホームページが狙われる理由
「サイバー攻撃は大企業が狙われるもの」というイメージは完全に過去のものです。現在のサイバー攻撃は、自動化されたプログラム（ボット）によって無差別に行われています。攻撃者は手動で1社ずつ狙うのではなく、インターネット上の全サイトを自動スキャンし、セキュリティの穴があるサイトを見つけ次第攻撃します。
中小企業のホームページが特に狙われやすい理由は3つあります。
WordPressは世界のWebサイトの約43%で使われています。シェアが大きい分、WordPressの脆弱性を狙った攻撃ツールが大量に出回っています。特に古いバージョンのWordPress・テーマ・プラグインを使い続けているサイトは、既知の脆弱性を突かれて簡単に乗っ取られます。
大企業には情報システム部門やセキュリティ担当者がいますが、中小企業にはいないのが普通です。ホームページを作った後、更新や保守を誰もしていない——というサイトが非常に多く、これが攻撃者にとっての「狙い目」になっています。
中小企業のサイトが乗っ取られると、そのサーバーを経由してスパムメールを大量送信したり、他のサイトへの攻撃の「踏み台」として使われます。あなたのサイトが他者への攻撃に利用された場合、法的責任を問われる可能性もあります。
攻撃を受けたときに起きる3つの被害
ホームページが攻撃を受けると、以下の3つの被害が発生します。いずれもビジネスへの影響が大きく、復旧には時間とコストがかかります。
サイトの改ざん——お客様が詐欺サイトに誘導される
最も多い被害がサイトの改ざんです。ホームページの見た目はそのままに、内部のコードが書き換えられ、お客様がアクセスすると詐欺サイトやフィッシングサイトに自動転送されます。経営者自身が気づかないまま、何ヶ月もお客様を危険なサイトに送り続けていた——という事例も珍しくありません。
個人情報の流出——問い合わせフォームのデータが盗まれる
ホームページの問い合わせフォームに入力されたお客様の名前・メールアドレス・電話番号が流出するリスクがあります。個人情報保護法に基づき、情報が漏洩した場合は個人情報保護委員会への報告と本人への通知が義務付けられています。対応を誤ると、損害賠償請求に発展する可能性もあります。
Googleからの検索除外——検索結果から完全に消える
Googleはマルウェアに感染したサイトを検索結果から除外します。さらにChromeでアクセスすると「この先のサイトには有害なプログラムがあります」という真っ赤な警告画面が表示されます。一度この状態になると、復旧してGoogleの再審査に通るまで検索結果に復帰できません。復帰までに1〜3ヶ月かかることもあります。
🔴 復旧コストは「対策コスト」の10倍以上
事前のセキュリティ対策にかかる費用は年間数千円〜数万円です。一方、攻撃を受けた後の復旧費用はサイトの規模や被害の程度によりますが、20万〜100万円に達することがあります。個人情報漏洩が絡む場合は、弁護士費用や損害賠償でさらに膨らみます。事前の対策が圧倒的にコストパフォーマンスが高いのは明らかです。
今すぐやるべきセキュリティ対策7つ
セキュリティ対策は「全部やらなければ意味がない」と思いがちですが、優先度の高い対策から順にやるだけで、リスクの大半を排除できます。以下の7つを上から順に実行してください。上の3つ（必須）だけでも、攻撃の大半を防げます。
最も重要かつ最も効果的な対策です。WordPressの更新には、新機能の追加だけでなくセキュリティの脆弱性の修正が含まれています。古いバージョンのまま放置すると、公開されている脆弱性を突かれて攻撃されます。WordPress管理画面の「ダッシュボード→更新」から、本体・テーマ・プラグインをすべて最新版に更新してください。使っていないテーマやプラグインは削除します。
「admin」「password」「会社名123」のような推測しやすいパスワードは、数秒でハッキングされます。パスワードは英大文字・小文字・数字・記号を組み合わせた12文字以上にしてください。WordPress管理画面の「ユーザー→プロフィール」から変更できます。ユーザー名が「admin」のままの場合は、新しい管理者ユーザーを作成して「admin」を削除することを推奨します。
SSL化はサイトとユーザー間の通信を暗号化する技術です。SSL未対応のサイトでは、問い合わせフォームに入力された情報が暗号化されずに送信されるため、通信途中で盗聴されるリスクがあります。多くのレンタルサーバーで無料SSL（Let’s Encrypt）が利用でき、管理画面から数クリックで設定できます。詳細はSSL化の解説記事をご覧ください。
WordPressの管理画面ログインURLは、初期設定では「ドメイン/wp-admin/」です。これは攻撃者も知っています。ログインURLを変更することで、不正ログインの試行自体を防止できます。「SiteGuard WP Plugin」（無料）を使えば、管理画面から簡単にログインURLを変更できます。
万が一攻撃を受けても、バックアップがあれば復旧できます。バックアップがなければ、ゼロからサイトを作り直す必要があります。「UpdraftPlus」（無料）を使えば、GoogleドライブやDropboxに自動バックアップを設定できます。週1回以上のバックアップを推奨します。
WordPressのセキュリティプラグインは、不正アクセスの検知・ブロック、ファイルの改ざん検知、ログイン試行の制限などを自動で行います。「Wordfence Security」（無料版あり）が最も利用されており、リアルタイムでの攻撃ブロックとマルウェアスキャンが可能です。
WordPressはPHP（プログラミング言語）で動作しています。古いバージョンのPHPには既知のセキュリティ脆弱性があります。レンタルサーバーの管理画面から、PHPのバージョンを最新の安定版に変更してください。2026年現在、PHP 8.2以上を推奨します。変更前にサイトの表示が正常かテスト環境で確認してから本番に反映してください。
セキュリティ対策の費用と対応方法の選び方
セキュリティ対策にかかる費用は、対策の種類と実施方法によって大きく異なります。
| 対策 | 自分でやる場合の費用 | プロに頼む場合の費用 |
|---|---|---|
| WordPress・プラグインの更新 | 無料 | 月額保守契約に含まれる（月3,000〜10,000円） |
| パスワード変更 | 無料 | — |
| SSL化 | 無料〜数千円 | 10,000〜50,000円 |
| ログインURL変更 | 無料（プラグイン） | 月額保守契約に含まれる |
| バックアップ設定 | 無料（プラグイン） | 月額保守契約に含まれる |
| セキュリティプラグイン | 無料〜年間12,000円 | 月額保守契約に含まれる |
| PHPバージョン更新 | 無料（サーバー管理画面） | 月額保守契約に含まれる |
| セキュリティ監査（全体診断） | — | 50,000〜200,000円 |
自分で対応できる対策（①〜③）は今日すぐにやってください。費用はほぼゼロです。対策④〜⑦は技術的な知識が多少必要ですが、プラグインの設定画面に沿って進めれば対応可能です。
ただし「自分で対応する時間がない」「設定を間違えてサイトが壊れるのが怖い」という方は、ホームページの保守管理サービスを利用する方法があります。CREVIAのホームページ制作では、制作後の保守管理プランも提供しており、WordPressの更新・バックアップ・セキュリティ監視を月額で対応しています。
💡 熊本の中小企業でよくあるケース
「5年前にホームページを作ったきり、一度も更新していない」——熊本の中小企業からよく聞く話です。WordPressを5年間更新しないと、その間に発見された脆弱性が何十個も放置された状態になります。車検を5年間受けていない車に乗り続けるようなものです。まずは今日、WordPress管理画面にログインして更新状況を確認してください。
よくある質問（FAQ）
Contact CREVIA
ホームページのセキュリティ、心配ではありませんか？
「WordPressを更新した記憶がない」「パスワードを変えたことがない」——そんな方は、まず無料診断でサイトの状態を確認しましょう。CREVIAでは、セキュリティ対策込みのホームページ制作・保守管理を行っています。
✅ WordPressセキュリティ診断 ✅ 保守管理プランあり ✅ 熊本・全国対応 ✅ 無料相談受付中
ホームページ制作サービスの詳細 →無料Web集客診断はこちら
熊本・全国対応｜ホームページ制作・SEO・MEO・GEO対策・AI検索対応・構造化マークアップ
