WordPressセキュリティプラグインを手がけるMelapressは、WordPressの専門家319人を対象に調査を実施し、その大半が少なくとも1件の既知のセキュリティインシデントに対応した経験を持つことを明らかにしました。回答者はいずれも、代理店スタッフ、開発者、デザイナー、サイトオーナー、管理者など、WordPressサイトの構築・運用を生業とする人々です。
回答者全体のうち、侵害復旧計画を持っているのは3割未満にとどまりました。復旧計画とは、誰が対応にあたるか、クリーンなバックアップがどこにあるか、誰に報告すべきかをあらかじめ定めておくものです。こうした計画がなければ、インシデント発生の最中にその場しのぎで判断を下すことになります。インシデントによる被害として最も多く報告されたのはダウンタイムで、被害を受けて影響を説明した回答者の68.4%がこれを挙げています。
問題の発覚は他者からの指摘が多い
インシデントを経験した回答者の間で最も多かった発覚の経緯は、誰かがサイトの挙動がおかしいと気づいたというものでした。その「誰か」とは訪問者、顧客、同僚、管理者などさまざまですが、こうした人々が気づく頃には、問題はすでにサイトの運用に支障をきたしている可能性があります。監視手段としてインシデントを最も多く検知していたのはログツールで、ホスティングプロバイダーからのアラートやマルウェアスキャナーが検知に役立ったケースもありました。</p
発覚が遅れるほど、被害は深刻化する傾向にあります。検索エンジンからの警告をきっかけにインシデントが発覚したケースでは、46%が検索順位の低下を伴っていたのに対し、他の方法で発覚したケースでは14.5%にとどまりました。この警告自体が被害を引き起こしているわけではなく、むしろ検索エンジンの目に留まるほど長期化・深刻化したインシデントは、発覚した時点ですでに進行が進んでいたと考えられます。
あるECサイトのオーナーは、ハッキング後にアクセス数が急減したことをGoogleサーチコンソールで知りました。「残念ながら、順位は完全には回復しませんでした」とこのオーナーは語っています。
何から始めるべきか
研究者らは、復旧計画は必要になる前に策定し、テストしておくことを推奨しています。誰が被害を受けたシステムを隔離するのか、誰がサイトを復旧するのか、誰が顧客に通知するのか。一度も復元を試したことのないバックアップは、実際に誰かが試す日までは単なる「仮定」にすぎません。
Melapressはまた、トレーニングも中核的な対策の一つと位置づけています。コンテンツ編集者や管理者の判断も、サイトのセキュリティに影響を及ぼすためです。代理店やフリーランサーがセキュリティ対応を担っている場合でも、サイトのオーナーは誰がセキュリティ通知を受け取る立場にあるのかを把握しておくべきです。
翻訳元: https://www.helpnetsecurity.com/2026/09/18/wordpress-security-survey-recovery-plan/
