「うちのような小さな会社のホームページが、わざわざ狙われることはないだろう」
そう思っている方は少なくありません。しかし2026年の今、その考えはもう通用しなくなっています。
生成AIや自動化ツールの広がりで、攻撃者はインターネット上のホームページを機械的に、休みなく調べ、弱いところがあるサイトを片っ端から攻撃できるようになりました。会社の規模や知名度は関係ありません。更新されていないWordPressサイトは、それだけで標的の候補になります。
この記事では、新潟の中小企業・個人事業主の方に向けて、AIによってホームページへの攻撃がどう変わったのかを、IPA（情報処理推進機構）や警察庁などの公的な資料をもとに解説します。そのうえで、WordPressサイトを守るための対策を優先度順に整理し、制作会社と保守契約を結ぶときに確認すべき点もまとめました。
結論：AI時代のホームページ対策は「速く直す仕組み」がすべて
先に結論をお伝えします。AIによって攻撃は「数が増え」「速くなり」「巧妙に」なりました。中でもホームページにとって一番大きな変化は速さです。
- WordPressの脆弱性（セキュリティ上の欠陥）は、狙われやすいものだと公表からわずか5時間ほどで大規模な攻撃が始まるという調査があります。
- 2026年7月には、WordPress本体にログインなしでサイトを乗っ取れる重大な脆弱性が見つかりました。
- そのため、「気づいたときに更新する」ではなく、自動更新・バックアップ・監視を仕組みとして回しておくことが最も効果的な対策です。
以下で、その理由と具体的な方法を順に説明します。
AIでサイバー攻撃はどう変わったのか
IPAの「10大脅威」にAIのリスクが初めて選ばれ、いきなり3位に
IPAが毎年発表している「情報セキュリティ10大脅威」の2026年版（組織編、2026年1月公表）で、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、いきなり3位に入りました。同じランキングの4位は「システムの脆弱性を悪用した攻撃」で、ホームページの乗っ取りや改ざんはここに含まれます。
IPAの解説書では、攻撃者によるAIの悪用について次のような点が挙げられています。
- AIの翻訳性能が上がり、詐欺メールの文面を自然な日本語で作れるようになった
- AIが攻撃の「アシスタント」として使われ、攻撃の件数が増え、平均的な技術レベルも上がっている
以前は「日本語が不自然だから詐欺だと分かる」ということがよくありました。今はその見分け方が通用しにくくなっています。
変化1：攻撃の「量」が増えた
セキュリティ企業Thales（Imperva）の「Bad Bot Report 2026」によると、ウェブ上の通信の半分以上（53%超）はボット（自動プログラム）によるもので、AIを使ったボット攻撃は12.5倍に増えたと報告されています。
ボットは、ホームページを1件ずつ人が調べるのではなく、何万ものサイトを自動で巡回して「古いバージョンのWordPress」「脆弱性のあるプラグイン」「簡単なパスワードの管理画面」を探します。狙われるのは「有名な会社」ではなく「弱いサイト」です。
変化2：攻撃の「速さ」が上がった
WordPressのセキュリティを専門に調べているPatchstack社の年次レポート「State of WordPress Security in 2026」には、次のような数字が並んでいます。
| 項目 | 数値（2025年） |
|---|---|
| 新たに見つかったWordPress関連の脆弱性 | 11,334件（前年比42%増） |
| そのうちプラグインが原因のもの | 91%（テーマが9%） |
| 公表時点で修正版が出ていなかったもの | 46% |
| 集中的に狙われた脆弱性が、公表から大規模な攻撃を受けるまでの時間（中央値） | 約5時間 |
| レンタルサーバー側の防御で防げた攻撃 | 全体の26% |
同レポートは、AIが脆弱性を自分で見つけて悪用する能力が高まっているとも指摘しています。脆弱性が公表されると、その情報をもとに攻撃の手順が素早く作られ、ボットが一斉に攻撃を始めます。「週末に時間ができたら更新しよう」では間に合わない時代になりました。
変化3：攻撃の「巧妙さ」が増した
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月公表）には、生成AIを悪用した国内の検挙事例が載っています。
- 大手通販サイトに似せた偽サイト（フィッシングサイト）を生成AIで作って改良した男が、2025年6月に逮捕された
- 17歳の高校生が生成AIを使ってプログラムを作り、飲食店のアプリのサーバーに約724万回の不正な指令を送って会員情報を流出させ、2025年12月に逮捕された
専門知識がない人でも、AIの助けを借りて攻撃の道具を作れるようになっています。同じ資料によると、2025年のフィッシングの報告件数は約245万件（フィッシング対策協議会の集計）と、増加が続いています。
なぜ小さな会社のホームページが狙われるのか
攻撃者の目的は、ホームページの持ち主から直接お金を取ることだけではありません。乗っ取ったサイトは、次のようにさまざまな形で悪用されます。
- 詐欺サイトの置き場所にされる：会社のドメインの中に、偽の通販ページやログイン画面が勝手に作られる
- スパムページを大量に作られる：偽ブランド品の販売ページなどを何千ページも自動生成され、検索結果に表示される（Googleは「日本語キーワードによるハッキング」と呼んで注意を呼びかけています）
- ウイルスの配布元にされる：サイトを訪れたお客様のパソコンやスマートフォンが感染する
- 他社への攻撃の踏み台にされる：自社のサーバーから他の会社に攻撃が行われる
- お問い合わせ内容を盗まれる：フォームから送られた氏名・電話番号・メールアドレスなどが流出する
どれも、会社の大小に関係なく価値があります。むしろ、小さな会社のサイトは更新が止まっていることが多く、攻撃しやすいと見られています。警察庁の同じ資料では、2025年に報告されたランサムウェア（データを暗号化して身代金を要求するウイルス）の被害226件のうち、約6割が中小企業でした。
2026年7月に見つかったWordPress本体の重大な脆弱性「wp2shell」
2026年7月17日、WordPress本体に重大な脆弱性が2件公表されました（CVE-2026-63030とCVE-2026-60137）。組み合わせるとログインしていない第三者が、サーバー上で好きなプログラムを動かせるおそれがあるもので、「wp2shell」と呼ばれています。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年7月17日 |
| 影響を受けるバージョン | WordPress 6.8.0〜7.0.1（特に深刻なCVE-2026-63030は6.9.0〜7.0.1） |
| 修正されたバージョン | 6.8.6、6.9.5、7.0.2（またはそれ以降） |
| 実際の攻撃 | 米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）が、7月21日に「悪用が確認された脆弱性」の一覧に追加 |
WordPressは、本体の自動更新が有効なサイトには修正版を配信しています。それでも、自動更新を止めていたサイトや、古いサーバー環境で更新が失敗したサイトは、そのまま残っている可能性があります。管理画面の「ダッシュボード」→「更新」で、今のバージョンが上の修正版以降になっているかを一度確認してください。
本当に気をつけたいのは本体より「プラグイン」
wp2shellは本体の脆弱性として大きく報じられましたが、先ほどの数字のとおり、脆弱性の9割以上はプラグインから見つかっています。
最近は、AIで文章を作ったりチャットボットを置いたりするAI関連のプラグインそのものにも脆弱性が見つかっています。たとえば2026年5月には、10万以上のサイトで使われるAI関連プラグイン「AI Engine」に、一般の登録ユーザーが管理者の権限を得られてしまう脆弱性が報告されました（バージョン3.5.0で修正）。便利だからと試しに入れたプラグインが、そのまま放置されて入口になるケースは少なくありません。
乗っ取り・改ざんされると何が起きるか
被害は「サイトが見られなくなる」だけでは済みません。
| 起きること | 具体的な影響 |
|---|---|
| Google検索に警告が出る | 検索結果に警告ラベルが付いたり、サイトを開くとブラウザに赤い警告画面が出たりする。修正後にGoogleへ審査を依頼しても、解除まで数日から数週間かかる |
| 検索順位が落ちる | スパムページを大量に作られると、本来のページの評価が下がり、社名で検索しても出にくくなることがある |
| お客様に被害が出る | ウイルス感染や詐欺ページへの誘導で、訪れたお客様が被害を受ける |
| 個人情報の報告義務が生じる | 不正アクセスで個人情報が漏れた（漏れたおそれがある）場合は、件数にかかわらず個人情報保護委員会への報告と本人への通知が必要になる |
| 復旧に費用と時間がかかる | 調査・駆除・作り直しの費用に加え、その間の問い合わせや売上を失う |
特に注意したいのが個人情報の報告義務です。個人情報保護委員会によると、不正アクセスなど不正な目的で行われた漏えいは、1件でも報告の対象です。速報は発覚から概ね3〜5日以内、確報は60日以内に出す必要があります。お問い合わせフォームしかない小さなサイトでも、他人事ではありません。
WordPressサイトを守る8つの対策【優先度順】
ここからは具体的な対策です。費用がかからず、効果が大きいものから順に並べました。
| 優先度 | 対策 | 費用の目安 |
|---|---|---|
| 今日やる | 1. 本体・プラグイン・テーマを最新にして自動更新を有効にする | 0円 |
| 今日やる | 2. 使っていないプラグイン・テーマを削除する | 0円 |
| 今日やる | 3. 管理画面のログインを固める | 0円 |
| 今月中 | 4. サーバーのPHPのバージョンを確認する | 0円（サーバー移行が必要な場合は別途） |
| 今月中 | 5. バックアップを「サーバーの外」にも取る | 0円〜月数百円 |
| 今月中 | 6. レンタルサーバーのWAFを有効にする | 多くのサーバーで無料 |
| 今月中 | 7. Google Search Consoleで異常に気づける状態にする | 0円 |
| 続ける | 8. AIツールに管理情報を入力しない社内ルールを作る | 0円 |
1. 本体・プラグイン・テーマを最新にして自動更新を有効にする
最も効果が大きく、最も大切な対策です。WordPressの本体は、セキュリティのための小さな更新が標準で自動的に適用されます。一方、プラグインとテーマの自動更新は、初期設定ではオフになっています。
- 管理画面の「プラグイン」一覧で、各プラグインの「自動更新を有効化」をクリックする
- 「外観」→「テーマ」で、使用中のテーマの自動更新も有効にする
- 更新のお知らせが溜まっていないか、週に1回は「ダッシュボード」→「更新」を確認する
「自動更新でサイトの表示が崩れたら困る」という心配もあると思います。その場合でも、更新しないリスクのほうがはるかに大きいのが今の状況です。表示崩れへの備えは、後で説明するバックアップと組み合わせて行いましょう。
2. 使っていないプラグイン・テーマを削除する
停止しているだけのプラグインも、サーバー上にファイルが残っていれば攻撃の入口になりえます。使っていないものは「停止」ではなく「削除」しましょう。テーマも、使用中のものと予備の標準テーマ1つ以外は削除して構いません。
あわせて、長期間更新されていないプラグインがないかも確認してください。WordPress公式のプラグインページで「最終更新」が1年以上前のものは、開発が止まっている可能性があります。同じ機能を持つ、更新が続いている別のプラグインへの切り替えを検討しましょう。
3. 管理画面のログインを固める
ボットは、よく使われるユーザー名とパスワードの組み合わせを自動で試し続けます。次の点を見直してください。
- パスワードは12文字以上で、他のサービスと使い回さない
- ユーザー名に「admin」や会社名など推測されやすいものを使わない
- 二段階認証（ログイン時にスマートフォンのアプリで確認コードを入力する仕組み）を導入する
- 辞めた社員や、制作時に作った不要な管理者アカウントを削除する
- 管理者権限は必要な人だけに付け、記事を書くだけの人は「編集者」や「投稿者」にする
多くのレンタルサーバーには、海外からの管理画面へのアクセスを制限する機能もあります。国内からしかログインしないのであれば、有効にしておくと安心です。
4. サーバーのPHPのバージョンを確認する
WordPressは「PHP」というプログラム言語で動いています。PHPにもサポート期限があり、PHP 8.1以前はすでにセキュリティ修正の提供が終わっていて、8.2も2026年12月末で終了します。PHPが古いままだと、プラグインの最新版が動かず、更新そのものができなくなることもあります。
PHPのバージョンは、レンタルサーバーの管理画面や、WordPressの「ツール」→「サイトヘルス」で確認できます。切り替える前には、必ずバックアップを取りましょう。
5. バックアップを「サーバーの外」にも取る
IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」を改訂し、最低限やるべき対策をまとめた「情報セキュリティ5か条」に「バックアップを取ろう！」を加えて6か条にしました。どれだけ守りを固めても、被害をゼロにはできないからです。
- ファイルとデータベースの両方を保存する（WordPressは、記事などのデータがデータベースに入っています）
- 同じサーバーの中だけでなく、クラウドストレージなどサーバーの外にも保存する（サーバーごと乗っ取られると、中のバックアップも消されることがあります）
- 複数の世代を残す（改ざんに気づくのが遅れると、直近のバックアップも汚染されていることがあります）
- 年に1回は、バックアップから本当に戻せるかを試す
6. レンタルサーバーのWAFを有効にする
WAF（ウェブアプリケーションファイアウォール）は、ホームページへの怪しい通信を見つけて止める仕組みです。国内の主なレンタルサーバーでは、無料で使えることが多いので、管理画面で有効になっているか確認しましょう。
ただし、先ほどのPatchstackのレポートでは、サーバー側の防御で止められた攻撃は全体の26%にとどまっていました。WAFはあくまで補助です。「WAFがあるから更新しなくていい」ということにはなりません。
7. Google Search Consoleで異常に気づける状態にする
Googleの無料ツール「Search Console」にサイトを登録しておくと、Googleがハッキングやウイルスを見つけたときに「セキュリティの問題」として知らせてくれます。自分では気づきにくい改ざんを、外から見つけてもらえる仕組みです。
あわせて、ときどき「site:自社のドメイン」でGoogle検索し、身に覚えのないページ（外国語のページや通販ページなど）が表示されていないかも確認しましょう。Search Consoleは、AI検索への対策でも土台になるツールです。詳しくはAI検索（AIによる概要・AIモード）に選ばれるには？中小企業が今日からできる7つの具体策でも紹介しています。
8. AIツールに管理情報を入力しない社内ルールを作る
AIはホームページの更新作業にも便利ですが、使い方には注意が必要です。IPAの10大脅威でも、会社が把握していないAIサービスに業務の情報を入力してしまう「シャドーAI」のリスクが指摘されています。
- 管理画面のパスワード、サーバーやFTPのログイン情報を、チャット型のAIに貼り付けない
- お問い合わせの内容など、お客様の個人情報をAIに入力しない
- AIが作ったプログラムのコードを、内容を確かめずにサイトへ貼り付けない
- 会社として使ってよいAIサービスと、入力してよい情報の範囲を決めておく
予算別：どこまで自社でやり、どこから任せるか
ここまでの対策を、すべて自社で続けるのは簡単ではありません。予算と社内の体制に合わせて、次のように考えるのがおすすめです。
| 予算 | できること | 向いている会社 |
|---|---|---|
| 0円（自社で対応） | 対策1〜3・6・7・8。自動更新と管理画面の見直しで、被害の多くは防げる | 社内にWordPressの管理画面を触れる人がいて、週1回の確認を続けられる会社 |
| 月数百円〜数千円 | 上記に加えて、有料のバックアップサービスやセキュリティプラグインで、サーバー外へのバックアップや改ざん検知を自動化する | 自社で管理したいが、確認の手間を減らしたい会社 |
| 保守契約（月数千円〜） | 更新作業、更新前のバックアップ、不具合時の復旧、緊急時の対応を制作会社に任せる | 本業が忙しく、ホームページの管理に時間をかけられない会社 |
WordPressは、更新を続ければ十分に安全に使えるシステムです。一方で、更新を止めると一気に危険になります。WordPressと独自CMSの違いや、それぞれの保守の考え方は、WordPressと独自CMSはどちらを選ぶべきか【2026年版】費用とSEOで比較で詳しく解説しています。
保守契約を選ぶときに確認したい7つのポイント
「保守契約を結んでいるから安心」と思っていても、中身を見ると月に1回の更新だけで、緊急時の対応は別料金ということもあります。AIで攻撃が速くなった今、次の7点を確認しておきましょう。
- 重大な脆弱性が公表されたときに、どのくらいの速さで対応してくれるか（定期の更新日まで待つのか、すぐに対応してくれるのか）
- 更新の前にバックアップを取り、不具合が出たら元に戻してくれるか
- バックアップをどこに、何世代分保存しているか（サーバーの外にもあるか）
- 改ざんやサイトの停止を監視しているか（気づくのはお客様からの連絡が最初、という状態になっていないか）
- 被害に遭ったときの復旧作業が、月額料金に含まれるか（別料金ならおおよその金額）
- サーバーやドメインの契約が、自社の名義になっているか（制作会社の名義だと、契約を変えるときに移管で困ることがあります）
- 何をしたかを報告してくれるか（更新した内容や、見つかった問題の報告があるか）
保守費用の相場や、見積もりでの確認方法についてはホームページ制作の費用相場を徹底解説【2026年最新版】を、制作会社そのものの選び方は新潟でおすすめのホームページ制作会社の選び方｜失敗しない7つのチェックポイントを参考にしてください。
もし改ざんや乗っ取りに気づいたら
万が一、サイトの様子がおかしいと気づいたときは、慌てずに次の順番で対応してください。
- サイトを一時的に公開停止する：お客様への被害の拡大を防ぐため、メンテナンス表示に切り替えるなどして公開を止める
- パスワードをすべて変える：WordPressの管理者、サーバー、FTP、データベースのパスワードを、安全なパソコンから変更する
- 制作会社やサーバー会社に連絡する：いつ、何に気づいたかを伝え、調査と復旧を依頼する。証拠になるため、サーバーのファイルやログは消さずに残しておく
- 個人情報の漏えいがないか確認する：漏えいのおそれがあれば、個人情報保護委員会への報告と本人への通知を検討する
- 警察に相談する：新潟県警察の「サイバー犯罪対策」のページに相談先が案内されています
復旧した後は、Search Consoleから再審査を依頼して、検索結果の警告を解除してもらいます。
よくある質問
小さな会社のホームページでも、本当に狙われますか？
狙われます。現在の攻撃の多くは、ボットがインターネット上のサイトを自動で調べ、弱いところがあるサイトを機械的に攻撃するものです。会社の規模や知名度は関係なく、更新されていないサイトほど狙われやすくなります。
レンタルサーバーのセキュリティがあれば、更新しなくても大丈夫ですか？
大丈夫ではありません。Patchstackの調査では、サーバー側の防御で止められた攻撃は全体の26%でした。サーバーの防御は補助と考え、WordPress本体とプラグインの更新を必ず続けてください。
自動更新でサイトが表示されなくなることはありませんか？
まれに起こります。そのため、自動更新とあわせて、すぐに元に戻せるバックアップを用意しておくことが大切です。更新しないことで乗っ取られるリスクのほうが、表示の不具合よりはるかに大きいと考えてください。
セキュリティ対策のプラグインを入れれば安心ですか？
役に立ちますが、それだけでは不十分です。プラグイン自体にも更新が必要で、入れすぎると動作が重くなったり、新たな入口になったりします。まずは更新、不要なプラグインの削除、ログインの見直しといった基本を優先してください。
WordPressは危ないので、使わないほうがいいのでしょうか？
そうとは限りません。WordPressは世界で最も使われているため狙われやすい一方、問題が見つかればすぐに修正版が出ます。更新を続けられる体制があれば、安全に使い続けられます。
まとめ
AIによって、ホームページへの攻撃は「数が増え」「速くなり」「巧妙に」なりました。狙われるのは有名な会社ではなく、更新が止まっている弱いサイトです。今日からできる対策は次の8つです。
- 本体・プラグイン・テーマを最新にして自動更新を有効にする
- 使っていないプラグイン・テーマを削除する
- 管理画面のログインを固める
- サーバーのPHPのバージョンを確認する
- バックアップを「サーバーの外」にも取る
- レンタルサーバーのWAFを有効にする
- Google Search Consoleで異常に気づける状態にする
- AIツールに管理情報を入力しない社内ルールを作る
大切なのは、一度だけ対策して終わりにせず、「速く直す」仕組みを続けることです。自社で続けるのが難しい場合は、保守を任せられる制作会社を選びましょう。
SunCreateでは、新潟の中小企業・個人事業主の方に向けて、ホームページの制作だけでなく、公開後の定期的な更新作業や、不具合が起きたときの緊急対応を含む月額5,500円〜の保守プランをご用意しています。「自社のサイトのWordPressが最新になっているか分からない」「今の保守契約で大丈夫か不安」という方も、お気軽に無料相談からお問い合わせください。
※この記事の情報は2026年10月時点のものです。脆弱性やソフトウェアのサポート期限は変わることがあるため、最新の情報は各公式サイトでご確認ください。