近年、ニュースで大企業の情報流出や謝罪会見を見る機会が増えています。そうした報道を見て「自分の会社も同じ目に遭うのでは」と不安になる経営者は多いです。しかし、実務で対応している立場から言うと、中小企業・個人事業主が直面するハッキングと、ニュースで取り上げられる大企業の被害は、目的も手口もまったく異なります。この記事ではその違いを平易に解説し、あなたがまず優先すべき対策をまとめます。
要点を先に言うと
まず結論を一文で示します。中小企業のWordPressサイトで一般的なのは「マルウェア感染による改ざんやリダイレクト」であり、身代金を要求するランサムウェアとは別物です。実務ではこの差を正確に理解して、手を打つことが重要です。
１｜マルウェア感染（改ざん型）とは何か
中小規模のサイトで圧倒的に多いのは、プラグインやテーマの脆弱性を突かれてサイトに悪意あるコードが埋め込まれるケースです。典型的な被害は次のようなものです。
・サイト訪問者が勝手に海外の広告ページや詐欺サイトに飛ばされる
・検索結果に怪しい英語の広告や不正リンクが表示される
・管理画面にログインできなくなる
・サーバーがスパム送信の踏み台にされる
２｜ランサムウェア（身代金型）とは何が違うか
ランサムウェアは、企業の内部ネットワークや自社運用のサーバーを標的にしてファイルを暗号化し、復号の代償として身代金を要求します。被害がニュースになる大きな理由は、業務停止や顧客データ流出などの社会的影響が大きいからです。
３｜なぜ中小企業サイトは「改ざん型」に遭いやすいのか
実務で対応していると、犯行の多くは以下のような「放置」が原因です。
・WordPress本体やプラグイン、PHPのバージョンを長期間更新していない
・出所不明のテーマやプラグインを使っている
・管理者パスワードが弱く、使い回している
・バックアップが取られていない、あるいは管理方法が不明確
４｜技術的に多い手口（簡単な解説）
現場でよく見る改ざんコードの型を簡単に説明します。
・テンプレートに外部スクリプトを読み込む一行を挿入する（例：<script src="https://悪質なURL/js/redirect.js"></script>）
・PHPファイルにbase64で隠蔽されたコードを埋め込み、定期実行で別サイトへリダイレクトさせる
・cronやスケジュールタスクを使って定期的に悪性コードを復活させるバックドアを作る
５｜中小企業がまずやるべき実務的対策
被害を防ぐために中小企業でもすぐに実行できる基本対策を挙げます。実行性を重視してください。
・WordPress本体・プラグイン・PHPを定期的に更新する
・強固なパスワードにし、同一パスワードの使い回しをやめる
・二段階認証（2FA）とログイン試行制限を導入する
・出所不明のテーマやプラグインは使用しない
・定期自動バックアップを設定し、バックアップの保管場所を確認する
・サーバー側のWAFを有効にする、常時SSL化を行う
・管理者権限を必要最小限に限定する（編集者など権限分離を行う）
・セキュリティプラグインの導入で不正アクセスを検知する
６｜もし被害に遭ってしまったらの現実的な初動
被害が発覚したときに現場で困るポイントは、管理権限やサーバー情報が不明なケースです。特に制作を外注していて連絡が取れない場合、対応が遅れて被害が拡大します。
７｜中小企業経営者に伝えたい「心理面」の整理
ニュース映像に映る謝罪会見は非常にショッキングです。経営者がすぐに青ざめる気持ちは理解できます。しかし、現実の中小サイト被害は「信用の毀損」が最大のリスクであり、それは正しい初動と日常の管理で十分に軽減できます。恐れるべきは恐怖そのものではなく、無策のまま放置することです。
８｜まとめと次の一手
広義ではマルウェア感染もハッキングの一種です。ただし、実務上は「マルウェア感染（改ざん型）」と「ランサムウェア（身代金型）」は目的も対応も別物として扱うのが正しい理解です。まずは日常の更新と基本のセキュリティを徹底し、万が一に備えて復旧連絡先を確保しておきましょう。
▶ ハッキング・改ざん復旧と対策の詳細はこちら
