2026年10月、僕が主宰している経営者の勉強会RMMSで、会員さん向けの問題解決ワークを開きました。
問題解決ワークというのは、会員さんがいま困っていることを持ち寄って、参加メンバーみんなで解決していく会です。
そのはじめのほうで、サイバー攻撃が本当に増えている、という話になりました。
少し前までは、パソコンのウイルスが面倒だ、くらいで済んでいた話です。
それがいまは、情報が漏れることで、実際の被害につながるようになってきました。
その流れで、ホームページの守りの話になりました。
前提として、僕の会社はAIの導入サポートのほかに、お客様のホームページを作って納品する仕事もしています。
会員さんの中にも、僕のところにホームページを頼んでくださっている方がいます。
乗っ取りや改ざんのニュースを見るたびに、うちのホームページは大丈夫なのかな、と気になりますよね。
しかも自分で中を見ても、何がどう守られているのかは分からない。
分からないから、なおさら不安になるんだと思います。
ホームページのセキュリティ対策について、会員さんの前で打ち明けたこと
僕にホームページを頼んでくださっている方は、しっかり守ってもらっていると思っているかもしれません。
そこで僕は、正直にお話ししました。
「うちそんな強固にしてないです、正直」
「使いやすいようにしてます。もう使いにくくなるまで強固にしてないんですよ」
頼んでいる側からすると、ちょっとドキッとする言葉ですよね。
ただ、話はそこで終わりではなくて、こう続けました。
「でもバックアップは取ったんですよ」
会場から「バックアップは取ってる？」と声が上がったので、こうお答えしました。
「だからいざって時に復旧はできる」
なぜ、そこまで強固にしないのか。
ホームページの守りは、強くするほど、中を触れる人が限られていくからです。
営業時間が変わった、新しい商品の写真を載せたい、お休みのお知らせを出したい。
そういうちょっとした直しも、お客様がご自分ではできなくなって、そのたびに制作会社へ頼むことになります。
僕の見ている範囲では、ほかの制作会社さんは、ユーザーがご自分では中を変えられないところまで守りを厳しくしていることが多いように思います。
それはそれで、ひとつの筋の通った考え方です。
そのうえで僕の会社は、お客様が使いやすいほうを選びました。
WordPressのセキュリティ対策と、乗っ取り対策で先に確かめたいこと
ここからは、お客様のサイトではなく、僕の会社の自社のサイトの話です。
僕の会社のサイトには、ページの元になるファイルを手元のパソコンで作って、それをサーバーに上げているものがあります。
WordPressのような仕組みを使わず、ページのファイルをそのままサーバーに置くので、静的なサイトと呼ばれます。
WordPressには、外からログインして中を書き換えられる管理画面があります。
そういう入口を狙う攻撃と比べて、静的なサイトなら受けにくいのか、という問いが会場から出ました。
僕は、サーバー会社の設備そのものが乗っ取られない限りは受けにくい、とお答えしました。
そして、こう付け加えました。
「ワードプレスも今ものすごい攻撃にさらされてるんで」
これは僕の実感だけの話ではありません。
2026年の夏には、情報処理推進機構（IPA）も、WordPress本体の弱点を突く攻撃について注意を出しています。
実際に悪用されたことが確認されていて、攻撃のやり方まで公開されているので、被害が広がるおそれがある、という内容でした。
とはいえ、WordPressのホームページを持っていても、管理画面を開くこと自体ほとんどない、という方も多いですよね。
それでも使い続けるなら、最初に見ておきたいのは、更新がきちんと行われているかどうかです。
IPAも、自動更新で更新されているかを確かめ、されていなければ手動で更新するよう呼びかけています。
ホームページのバックアップ方法と、WordPressから離れるという選び方
では、「戻せる」というのはどういう状態なのか。
静的なサイトなら、ページの元が手元のパソコンにあるので、サーバーの中が書き換えられても、元のファイルを上げ直せばページは元に戻せます。
会場では、そこをWordPressと比べてこうお話ししました。
「ワードプレスの時と違って」
「だからいつでも即復旧できます」
一方でWordPressは、記事や写真がサーバーの中に入っています。
乗っ取られたときに戻すには、サーバーとは別のところに控えを取っておく必要があります。
ただし、ページの元が手元にあっても、お申込みの記録のようにサーバーの上でしか生まれないものは、別に写しておく必要があります。
IPAの「中小企業の情報セキュリティ対策ガイドライン」も、2026年3月の改訂で、はじめに取り組むことの中にバックアップを加えました。
手元が原本でサーバーは写し、という考え方は、AIにパスワードを預ける作り方の記事でもお話ししているので、あわせて読んでみてください。
もう一つ、こんなこともお話ししました。
「そういう意味でワードプレスから逃げようって考え方も一つありなんです」
ここでいう逃げ先が、静的なサイトです。
実際に僕の会社でも、自社のサイト全てをWordPressから静的なサイトへ移しました。
ただ、最初の一つを移したきっかけは守りではなく、書きためた記事のうち検索から人が来ているものが思っていたより少なくなっていて、WordPressに残す理由が薄れたことでした。
自由とセキュリティ、自社のホームページはどちらに寄せるか
ホームページの守りの話の締めくくりに、僕はこう言いました。
「そこは難しいところですね。自由とセキュリティの合間っていうのはやっぱり、ちょっと難しいかなと思います」
どちらに寄せるかは、そのホームページを誰が、どのくらい触っているかで変わってきます。
お店の方が毎週のようにお知らせや写真を入れ替えているなら、自分で触れる自由を残したほうが、お店のいまの様子を載せ続けられます。
年に一度の手直しくらいで、ほとんど作った会社に任せているなら、守りを厳しくしてもらっても困ることは少ないはずです。
ご自分でホームページを更新しているなら、そのホームページの控えがどこにあるかを確かめてみてください。
作ってもらったホームページなら、作ってくれた会社さんに、乗っ取られたらどうやって元に戻すのかを一度聞いてみてください。
その答えがすぐに返ってくるなら、まずはひと安心ですよね。
ai.msup.biz では、中小企業向けの「AI導入サポート」を行っています。
AIを仕事に取り入れたいとお考えでしたら、お気軽にご相談ください。