まず見直したい対策5つ

ここで紹介する5つは、どれも特別な機械や高価なソフトを必要としません。多くは、管理画面の確認や、制作会社・サーバー会社への質問から始められます。分からない項目があれば、「分からない」と分かったこと自体が、次に確認すべき点を教えてくれます。

1. ソフト・CMS・プラグインを更新する

Webサイトを動かすサーバーのソフト、WordPressなどのCMS、機能を追加するプラグインやテーマには、ときどき脆弱性（セキュリティ上の欠陥）が見つかります。開発元は修正版を出しますが、更新しなければ、欠陥は残ったままです。公表された脆弱性は攻撃者にも知られるため、更新までの時間が短いほど安全です。

確認のしかた：

• CMSの管理画面に「更新があります」という表示が出ていないか見る
• 長く更新が止まっているプラグインや、使っていないプラグインがあれば削除を検討する
• サーバーのソフトの更新を誰が行っているかを、サーバー会社や制作会社に確認する

2. パスワードを見直し、2要素認証を使う

どこか1つのサービスから漏れたIDとパスワードは、ほかのサービスでも試されます。使い回しをしていると、1か所の流出が次々と広がります。さらに、パスワードに加えてスマートフォンのアプリなどで本人確認をする2要素認証を使えば、パスワードが漏れても多くの場合はログインを防げます。

確認のしかた：

• サーバー、Webサイト、ドメイン、メールの管理画面のパスワードが、それぞれ別になっているか
• 各管理画面の設定に2要素認証があれば、有効にしているか
• 退職者や、今は付き合いのない制作会社がログイン情報を知ったままになっていないか

3. バックアップを別の場所に置き、戻せるか試す

改ざんやランサムウェアの被害に遭っても、元に戻せるデータがあれば立て直せます。ただし、本体と同じサーバーや、同じネットワークにつながったままのバックアップは、本体と一緒に壊されてしまうことがあります。また、「取っているつもりで、実は戻せなかった」ということも珍しくありません。

確認のしかた：

• Webサイトと社内データのバックアップが、それぞれどこに、どの頻度で取られているか
• 本体とは別の場所（別のサービスや、ネットワークから外せる媒体）にもコピーがあるか
• 実際にバックアップから戻す手順を、一度試したことがあるか

4. なりすましメールを防ぐ設定を入れる

メールの送信者名やアドレスは、比較的簡単に偽装できてしまいます。自社のドメインをかたったメールが取引先に届けば、詐欺の被害や信用の低下につながります。これを防ぐのが、次の3つの設定です。いずれもドメインの設定（DNS）に書き込むもので、受け取った側のメールサーバーが確認に使います。

• SPF：「このドメインのメールを送ってよいサーバーはここです」と宣言する仕組み
• DKIM：メールに電子的な署名をつけ、途中で書き換えられていないことと、正しい送り主であることを確かめる仕組み
• DMARC：SPFやDKIMの確認に失敗したメールを、受け取った側でどう扱うか（そのまま届ける・迷惑メールにする・受け取らない）を指定し、その結果の報告を受け取る仕組み

3つは役割が異なり、組み合わせて使うことで効果を発揮します。特にDMARCは、自社のドメインを使って誰がメールを送っているかを報告で把握できるため、なりすましに気づくきっかけにもなります。

確認のしかた：メールを管理している会社に「SPF、DKIM、DMARCは設定されていますか」と聞いてみてください。DMARCは、いきなり厳しい設定にすると正規のメールまで届かなくなることがあるため、まずは監視だけの設定で様子を見てから、段階的に強めるのが一般的です。

5. 「誰が、何を見ているか」をはっきりさせる

被害の背景でよく見られるのが、「制作会社が見ていると思っていた」「会社側が管理していると思っていた」という思い込みのすれ違いです。サーバー、ドメイン、SSL証明書、CMSには、それぞれ契約や期限、更新の作業があります。どれか1つでも担当が宙に浮くと、更新漏れや期限切れが起きます。

確認のしかた：次の項目について、契約先・担当者・期限や更新の頻度を一覧にし、制作会社と共有します。

• サーバー：契約している会社、契約の名義、ソフトの更新を行う人
• ドメイン：管理している会社、契約の名義、更新の期限
• SSL証明書：自動で更新されるか、手作業か、有効期限はいつか
• CMS：本体・プラグインの更新を誰が、どの頻度で行うか

この一覧は、担当者が替わったときの引き継ぎ資料にもなります。ドメインやSSL証明書の期限切れは、サイトが表示されなくなったり、ブラウザに「安全ではありません」といった警告が出たりして、すぐにお客さまの目に触れます。メールが届かなくなることもあり、業務への影響は小さくありません。期限の1か月前に誰が確認するかまで決めておくと安心です。

5つすべてを一度に終わらせる必要はありません。できるところから一つずつ進めるだけでも、狙われにくさは確実に変わります。外から見える部分がどうなっているかは、まもりスキャンの簡易診断でも確認できます。