相次ぐ不正アクセス・情報漏洩から学ぶ――WordPress利用者が見直したい7つの対策

2026年9月から10月にかけて、国内のさまざまなサービスで、不正アクセスによる情報漏洩が公表されました。流出した情報には、氏名やメールアドレスだけでなく、本人確認書類の画像や、画像に付随する情報なども含まれています。

こうしたニュースは、大企業だけの問題として片付けられるものではありません。WordPressでブログや企業サイトを運営する場合も、お問い合わせ、会員登録、商品販売などを通じて、利用者の情報を預かっていることがあります。

この記事では、最近の代表的な事件を振り返り、WordPress利用者が日々の運用で見直したい点を解説します。

2026年9月〜10月に公表された代表的な事例

情報漏洩のニュースでは、「公表日」と「実際の発生日」が異なる場合があります。また、「漏洩を確認した事例」と「漏洩したおそれがある事例」を区別することも大切です。

サービス・企業	公表時期	公表された被害と原因
Gyazo	9月16日 9月25日	ユーザー関連データ約2,362万件や画像のメタデータが流出。 画像アップロードサーバーの脆弱性を悪用され、データベースへアクセスされたと説明しています。 （公式発表・第1報／第2報）
タイムズカー	9月25日〜29日	約660万件のアカウント情報が流出。うち約160万件では運転免許証などの本人確認書類画像も流出。 具体的な侵入方法の詳細は、参照した発表では明らかにされていません。 （公式発表・第2報／第3報）
焼肉きんぐ	10月5日	公式アプリの会員情報1,078万8,963件が漏洩。 会員管理システムへの不正アクセスが原因で、登録名やメールアドレスなどが対象。 パスワードの漏洩はないと説明しています。（公式発表）
ローソン	10月8日	ローソンIDの情報215万5,345件と、アプリ予約の情報26件が漏洩。 本人に情報を表示するためのセキュリティ機構が不正アクセスを受けたと説明しています。 （公式発表）
第一興商	10月8日	顧客・従業員情報、合計約872万4,000件に漏洩のおそれ。 委託先のPCがマルウェアに感染し、そのPCに個人データが一時保管されていました。 参照した発表では、実際の流出は確認されていません。（公式発表）
skyticket	10月9日	サーバーへの侵入で約1,464万件が流出。 別経路で、業務管理システムやバス予約情報にも被害。 管理機能の不正操作、脆弱性、ログインせず閲覧できた予約完了ページなど、複数の経路を公表しています。 （公式発表）

件数は、必ずしも被害を受けた「人数」を意味しません。例えばGyazoの約2,362万件には匿名利用者のデータも含まれています。また、画像のメタデータとは、画像のURLを構成する情報や画像から読み取った文字などの付随情報であり、画像ファイルそのものとは区別されます。

なぜ情報漏洩が起き、被害が大きくなるのか

侵入の原因と、被害を広げる原因は異なる

情報漏洩を考えるときは、「どこから入られたか」と「なぜ多くの情報が流出したか」を分けると理解しやすくなります。

段階	問題になり得る例
情報への不正アクセスを許す	ソフトウェアの脆弱性、認証・権限確認の不備、盗まれたログイン情報
被害が広がる	一つのアカウントから大量の情報や別システムへアクセスできる
流出する情報が増える	利用目的を終えた情報や、作業用のコピーが残っている
発見や調査が遅れる	操作記録が不足している、異常を知らせる通知を確認していない

この表は一般的な整理です。掲載したすべての事件に、すべての問題があったという意味ではありません。

JPCERT/CCは、既知の脆弱性の悪用に加え、APIを通じた不正操作や、業務用システムへの攻撃などを挙げています。APIは、アプリやシステムが情報をやり取りする窓口です。利用者向けの画面だけでなく、その裏側の仕組みにも点検が必要です。

AIの関与は、確認された事実と推測を分ける

攻撃の動きを分析したセキュリティ企業は、状況に合わせて手口を変える様子から、AIを利用した攻撃の可能性を指摘しています。ただし、AIの利用を直接示す痕跡を確認したわけではないと説明しています。

「AIがすべての原因」と受け取るより、既知の弱点や設定の不備が広く探られている状況に目を向けることが、日々の対策につながります。

WordPress利用者が見直したい7つの対策

① WordPress本体・テーマ・プラグインを更新する

まず確認したいのは、更新の放置です。WordPress本体だけでなく、テーマやプラグインにも、安全性に関わる修正が含まれることがあります。

更新前にはバックアップを確保し、更新後は表示、投稿編集、お問い合わせ、購入など、サイトで重要な操作を確認しましょう。不具合を心配して更新を長期間止める場合は、検証環境の利用や保守担当者への相談など、更新できる方法を考える必要があります。

使わないプラグインは、必要なデータや依存関係を確認したうえで削除します。更新提供が終了した製品や、保守状況が分からない製品も見直しの対象です。

② 管理者権限とログイン情報を整理する

WordPressには、管理者・編集者・投稿者など、役割に応じた権限があります。記事を書くだけの人に、プラグインの追加や設定変更までできる管理者権限が必要とは限りません。

制作会社や外部ライターと協力する場合も、必要な人に必要な権限を付与し、契約や作業が終わった後のアカウントを確認しましょう。アカウントを削除する際は、その人が作成した投稿を残す必要があるかも確認します。

パスワードはサービスごとに異なるものを使い、対応する仕組みでは多要素認証を利用します。多要素認証とは、パスワードに加えて認証アプリなどを使い、本人かどうかを確認する方法です。WordPressだけでなく、レンタルサーバーや管理用メールのアカウントも対象にします。

③ お問い合わせ・会員情報の保存先を把握する

個人ブログでも、お問い合わせの氏名やメールアドレスを扱えば、守るべき情報が発生します。フォームの設定や追加機能によっては、送信内容がメールだけでなく、WordPressのデータベースにも保存されます。

例えば、次のような場所に同じ情報が残っていないか確認してみましょう。

• WordPress内のお問い合わせ履歴や会員データ
• 管理用メールの受信箱
• 集計のために出力したCSVファイル
• パソコンにダウンロードした添付資料
• クラウドストレージやバックアップ

これらは、サイトごとに確認するための例です。実際の保存先は、利用するプラグインや連携サービスによって異なります。

「どこに、何のために、いつまで保存するか」を決めることも、セキュリティ対策です。会計や契約などの保存上の要件を確認しながら、不要になった情報を整理しましょう。

④ REST APIは、用途と権限を確認する

APIが悪用されたニュースを見て、WordPressのREST APIもすべて停止したくなるかもしれません。しかし、REST APIはWordPressの管理機能などでも利用されており、一律に停止すると正常な動作を妨げることがあります。

WordPress公式も、REST APIを無効化すると、それに依存する管理機能が動かなくなると説明しています。

確認したいのは、公開してよい情報と、ログインや適切な権限が必要な情報が、正しく区別されているかです。特に、独自開発のプラグインや外部サービスとの連携機能は、開発者に確認する価値があります。

例えば、会員情報を取得する機能では、「ログイン済みか」に加えて、「その会員の情報を閲覧してよい人か」を確かめる必要があります。WordPressの開発者向け資料でも、認証と権限確認を区別しています。

⑤ 制作会社・外部サービス・作業用PCも確認する

第一興商の事例では、委託先のPCに保管されていた情報が問題になりました。WordPressの運用でも、制作会社や保守担当者に渡したデータ、外部サービスへ送信した情報まで、管理の対象に含める必要があります。

委託するときは、管理者アカウントの扱い、データの持ち出し先、作業終了後の削除、異常が起きた際の連絡先を確認しておきましょう。「バックアップを渡す」という作業も、サイト内の情報をまとめて渡す可能性がある行為です。

また、日常的に管理画面へログインするPCの更新やマルウェア対策も欠かせません。サーバー側だけでなく、操作する端末も守る必要があります。

⑥ バックアップは、保存先と復元方法まで確認する

バックアップは、障害や改ざんが起きたときにサイトを復旧するための備えです。WordPressでは、投稿や設定などを保存するデータベースと、画像・テーマ・プラグインなどのファイルを、必要な範囲で確保します。

確認したいのは、「取得できているか」「必要な時点のものがあるか」「復元できるか」です。レンタルサーバーの自動バックアップを利用している場合も、保存期間や復元の手順を把握しておきましょう。

バックアップ自体にも個人情報が含まれます。誰でもダウンロードできる場所に置かず、アクセスできる人を限定する必要があります。

なお、バックアップでサイトを復元しても、すでに流出した情報を取り戻せるわけではありません。復旧の備えと、漏洩を防ぐ対策は、それぞれ用意する必要があります。

⑦ 通知・操作記録・相談先を確認する

セキュリティ対策は、機能を有効にした後の運用も大切です。例えば、身に覚えのない管理者の追加、予期しないファイル変更、不自然なログインなどを把握できるようにしておきます。

サーバーやセキュリティ機能からの通知が、普段確認しないメールアドレスに届いていないかも見直しましょう。アクセス記録や操作記録を、どこで確認でき、どの程度の期間保存されるかを把握しておくと、調査にも役立ちます。

WAFは、不正な通信を検知・遮断する仕組みです。セキュリティプラグインなどと同様に防御の一部として活用しつつ、更新や権限管理、情報の整理も続けることが必要です。

不正アクセスが疑われたら、状況を記録して相談する

見覚えのないページやアカウントがある場合、すぐに削除や再インストールを繰り返すと、調査に必要な情報が失われることがあります。

まず、発見した日時、画面の状態、直前の変更、届いた通知などを記録します。被害が続いている可能性がある場合は、レンタルサーバー会社や保守担当者に連絡し、必要な機能の停止やアクセス制限、ログの保全を並行して進めましょう。

復旧では、不正なファイルの除去だけでなく、侵入経路の解消や、影響を受けた認証情報への対応も必要です。個人情報を扱っている場合は、漏洩の有無や対象範囲を調べ、必要な連絡・報告について専門家に確認します。

WordPress公式にも、被害の兆候や発見時刻、直前に行った操作などを記録するよう案内があります。

まとめ：預かっている情報から、対策を考えよう

最近の情報漏洩事件から学べるのは、ソフトウェアの更新に加えて、権限、保存データ、委託先、作業用PCまで確認する必要があるということです。

WordPress利用者は、まず次の項目を確認してみてください。

• 本体・テーマ・プラグインの更新を放置していないか
• 不要なプラグインや管理者アカウントが残っていないか
• お問い合わせや会員情報の保存先と保存期間を把握しているか
• 独自機能や外部連携の権限確認について、相談できる担当者がいるか
• バックアップの保存先と復元方法が分かるか
• 異常の通知を受け取れ、相談先へ連絡できるか

すべてを一度に見直すのが難しくても、更新状況と管理者アカウントの確認から始められます。利用者から預かった情報を守ることを、日々のサイト運営の一部にしていきましょう。