年末年始に向けたWordPressサイト保守・セキュリティ総点検チェックリスト｜長期休暇前の必須対策

年末年始やゴールデンウィーク、夏季休暇といった長期休暇中は、企業のオフィスが閉まり、社内のWeb担当者や制作会社のエンジニアが不在になります。実は、この 「管理者の不在期間」こそがサイバー攻撃者にとって最も都合の良い格好の標的 となります。

もし休暇中にサイトが改ざんされたりマルウェアを仕込まれたりした場合、発覚が初出社日まで数日から1週間以上も遅れ、その間に検索エンジンから危険サイト判定を受けてインデックスを削除されたり、取引先や顧客へマルウェアを拡散してしまったりする甚大な被害へと発展します。

安心して休暇を過ごし、休暇明けもスムーズに業務を再開するためには、 休業前の計画的な保守点検とセキュリティ対策の完了 が欠かせません。

本記事では、長期休暇前に企業のWeb担当者やサイト管理者が必ず実施しておくべき 「WordPress保守・セキュリティ総点検チェックリスト」 をはじめ、休暇中の異変を自動検知するアラート設定、万が一の緊急連絡体制マトリクス、休暇明けの安全確認フローまでを徹底解説します。

---

なぜ年末年始・長期休暇中にWordPressサイトのサイバー攻撃・改ざんが急増するのか？

日常的な運用時と長期休暇中とでは、サイトを取り巻くリスクの深刻度が根本的に異なります。まずは、なぜ休暇期間中にサイバー攻撃やサイト改ざんのリスクが跳ね上がるのか、そのメカニズムを理解しておきましょう。

攻撃者が狙う「管理者の不在」と「初動対応の空白期間」

サイバー攻撃者の多くは、手作業で1件ずつサイトを狙うのではなく、脆弱性を抱えたWordPressサイトを自動検出する攻撃ボットを24時間体制で稼働させています。

通常営業日であれば、万が一不正侵入やファイル書き換えが発生しても、以下のような迅速な初動対応が可能です。

• 社内担当者やアクセス解析担当がサイトの異変に即日気づく
• 提携しているWeb制作会社やサーバー管理会社へ即座に連絡できる
• 数時間から半日以内にサーバーアクセスを制限し、バックアップから復旧できる

しかし、長期休暇中は社内担当者も外部パートナーも休業に入ります。攻撃者側も「長期休暇中は監視の目が届かず、初動対応の空白期間が生まれる」ことを熟知しています。そのため、侵入に成功した後の活動（悪質コードの設置、不正リンクの埋め込み、大量スパムメールの送信など）を誰にも邪魔されずに実行できる長期休暇を好んで悪用するのです。

休暇中に頻発する3大インシデント（マルウェア混入・他サイトへの踏み台攻撃・不正転送）

長期休暇中のWordPressサイトで実際に多発するインシデントは、主に以下の3パターンです。

1. マルウェア混入とWebシェル（バックドア）の設置

テーマファイル（functions.php や header.php 等）やプラグインファイル内に、難読化されたPHPコードが埋め込まれます。さらに、管理画面を経由せずにサーバー内を自在に遠隔操作できる「Webシェル」と呼ばれる不正ファイルを設置され、サーバー全体を掌握されてしまいます。

2. 他サイトへの踏み台攻撃やスパム配信サーバー化

侵入されたサーバーのリソースが悪用され、外部の公的機関や金融機関へのDoS攻撃（過剰アクセス攻撃）の踏み台にされたり、サーバーのメール送信機能を使って世界中へ数万件単位のフィッシング詐欺メールを送信されたりします。自社が「被害者」であると同時に、法的には他者への「加害元」になってしまう重大なリスクを孕んでいます。

3. 不正転送（リダイレクトハック）

サイトを訪れたユーザーを、意図しない海外の詐欺サイト、偽のウイルス警告画面、不正なオンラインカジノサイトなどへ強制転送させるコードが埋め込まれます。管理者が通常通りPCでトップページを見ても転送されず、「スマホからGoogle検索経由でアクセスした一般訪問者のみを転送する」といった巧妙な細工が施されるケースが多く、社内での発見が極めて遅れやすいのが特徴です。

被害発覚が遅れた場合の甚大なリスク（検索エンジンのブラックリスト登録・企業信用失墜）

長期休暇中に発生したインシデントが休暇明けまで放置された場合、企業が被るダメージは単なる「サイトの不具合」では済みません。

• 検索エンジンによるブロックと順位剥奪 : Googleなどの検索エンジンによって危険なサイト（マルウェア配布・フィッシング）と判定されると、検索結果に「このサイトはコンピュータに損害を与える可能性があります」といった警告ラベルが付与されます。最悪の場合、検索インデックスから完全に削除され、何年もかけて積み上げてきたオーガニック検索流入が一夜にしてゼロになります。
• ブラウザの赤画面警告による離脱 : ChromeやSafariなどの主要ブラウザでサイトを開いた瞬間、真っ赤な背景に「偽のサイトにアクセスしようとしています」という警告画面（Google Safe Browsing等によるブロック）が表示され、訪問者のほぼ100%が離脱します。
• 企業信用の失墜と損害賠償責任 : 休暇中に自社サイトを訪れた顧客や取引先がマルウェアに感染した場合、企業としての管理責任を問われます。個人情報保護委員会への報告義務や専門機関によるフォレンジック調査費用、被害者への対応費用など、数百万〜数千万円規模の損害が発生することもあります。

こうした最悪のシナリオを未然に防ぐため、休暇に入る前の点検と対策が極めて重要になります。

---

【休業前に完了必須】WordPressサイト保守・セキュリティ総点検チェックリスト

長期休暇前に完了させておくべきセキュリティ対策を、優先度と推奨スケジュールに沿って一覧表にまとめました。まずは全体のチェック項目を確認し、計画的に進めましょう。

【保存版】長期休暇前WordPressセキュリティ総点検シート（優先度・完了目標日付き）

点検項目	重要度	推奨完了タイミング	主な確認・実施方法
本体・プラグイン・テーマ更新	必須	休業5日前まで	管理画面「更新」より適用。更新後の表示・フォーム動作確認
不要なプラグイン・テーマ削除	必須	休業5日前まで	停止中のプラグイン・未使用テーマを管理画面から完全削除
完全バックアップの外部退避	必須	休業前日〜当日	DBとファイルをクラウド（Google Drive/S3等）またはローカルへダウンロード
管理者アカウントの棚卸し	必須	休業3日前まで	不要なユーザー削除、権限の見直し、強固なパスワード設定
二要素認証（2FA）の適用	必須	休業3日前まで	2段階認証プラグイン等で管理者アカウントにTOTP設定
ログインURL変更・試行回数制限	推奨	休業3日前まで	ログインURLを独自文字列に変更し、連続失敗IPをブロック設定
管理画面のファイル編集禁止	必須	休業前日まで	wp-config.php に DISALLOW_FILE_EDIT を追記
サーバーWAF・SSL有効期限確認	必須	休業前日まで	レンタルサーバーの管理パネルでWAF設定とSSL証明書の期限を確認

チェック1：WordPress本体・プラグイン・テーマのアップデートと不要資産の削除

WordPressに対する不正侵入の9割以上は、 本体・プラグイン・テーマの既知の脆弱性（セキュリティホール） を突いたものです。休暇中に放置された古いプラグインは、格好の侵入口となります。

コアの自動更新ポリシーの適切な制御

WordPress本体の予期せぬメジャーアップデートによる画面崩れを防ぎつつ、緊急のセキュリティパッチ（マイナーアップデート）だけを確実に自動適用させるには、wp-config.php に以下の定数を定義します。

// マイナーアップデート（セキュリティ修正）のみ自動適用
define( 'WP_AUTO_UPDATE_CORE', 'minor' );

これにより、新機能を含むメジャーバージョン（例: 6.4から6.5など）への勝手な自動更新によるトラブルを防ぎつつ、セキュリティパッチ（例: 6.4.2から6.4.3など）は休暇中であっても自動で適用されるため、安全性を保つことができます。

停止中・未使用のプラグインとテーマは完全に削除する

「有効化していないから安全」と誤解されがちですが、サーバー上にファイルが存在する限り、外部から直接PHPファイルを実行されて脆弱性を突かれるリスクがあります。使用していないプラグインや過去のデフォルトテーマ（Twenty Twenty等）は、すべて管理画面から「削除」してください。

チェック2：サーバー外（クラウド・ローカル）への完全バックアップ退避

万が一休暇中にサイトが改ざんされたりデータが暗号化されたりした場合、元通りに復元できるかどうかは 「クリーンなバックアップが存在するかどうか」 にかかっています。

同一サーバー内への保存だけでは不十分：
バックアッププラグインの中には、バックアップファイルをサーバー内の wp-content/uploads/ 配下に保存する仕様のものがあります。しかし、サーバー自体がランサムウェアに感染したり、サーバーアカウントごと侵害された場合、バックアップファイルもろとも改ざん・削除されてしまいます。

バックアップの必須要件：

1. データベース（SQL）とファイル群（画像・テーマ・プラグイン）の両方を取得する
2. バックアップデータをサーバー外の安全な場所（Google Drive、AWS S3、ローカルPCの外部ストレージ等）へダウンロード・退避する
3. 休業前日の最終更新時点のデータを退避する

チェック3：全管理者アカウントのパスワード強化と二要素認証（2FA）の必須化

パスワードの推測や過去の漏洩リストを用いた「クレデンシャルスタッフィング攻撃」による管理者権限の乗っ取りは後を絶ちません。

• 退職者や過去の外注アカウントの削除 : 過去にサイト制作や修正を依頼した制作会社のアカウントが「管理者」のまま残っていないか確認し、不要なアカウントは即座に削除します。
• 管理者権限の絞り込み : 記事投稿のみを行うスタッフのアカウントは、「管理者（Administrator）」から「編集者（Editor）」または「投稿者（Author）」へ権限を引き下げます。
• 二要素認証（2FA）の導入 : パスワードが漏洩した場合でもログインを阻止できるよう、Google Authenticatorなどの認証アプリを用いた 二要素認証（2FA） を全管理者アカウントに導入しましょう。「Wordfence Security」や「Two-Factor」プラグイン等を利用すれば、数分で設定が完了します。

チェック4：ログイン画面URLの変更とログイン試行回数制限の適用

デフォルトのWordPressログインURL（/wp-login.php や /wp-admin/）は、世界中の攻撃ボットから常に総当たり攻撃（ブルートフォース攻撃）を受けています。

• ログインURLの難読化 : 「SiteGuard WP Plugin」などのセキュリティプラグインを用いて、ログインURLを推測されにくい独自の文字列（例: /custom-login-gate/ 等）に変更します。これだけで、機械的なボット攻撃の95%以上を無力化できます。
• ログイン試行回数の制限 : 「Limit Login Attempts Reloaded」等のプラグインを導入し、「3回連続でログインに失敗したIPアドレスは24時間アクセスを遮断する」といったレートリミットを適用します。これにより、休暇中の執拗な総当たり攻撃からサーバーを守ることができます。

チェック5：管理画面からのファイル編集（テーマ/プラグインエディター）の完全無効化

万が一、弱いパスワードの管理者アカウントが突破されてしまった場合でも、 「サイトを改ざんさせない最後の防壁」 を築いておくことが重要です。

WordPressには、管理画面からテーマやプラグインのPHPファイルを直接編集できる機能（外観 ＞ テーマファイルエディター等）が標準で備わっています。攻撃者は管理画面に侵入すると、真っ先にこの機能を使って悪質なWebシェルコードをPHPファイルに書き込みます。

このリスクを完全に封じるため、wp-config.php に以下の1行を追記してください。

// 管理画面からのテーマ・プラグインファイル直接編集を禁止
define( 'DISALLOW_FILE_EDIT', true );

この設定を行うと、管理画面内のファイルエディターメニュー自体が非表示となり、万が一管理画面に不正ログインされた場合でも、PHPファイルへの直接改ざんを物理的に防止できます。

チェック6：サーバーWAFの有効化状態とSSL証明書の有効期限確認

WordPress内部の対策だけでなく、サイトが稼働しているレンタルサーバー側のセキュリティ基盤も点検します。

サーバーWAF（Web Application Firewall）の有効化確認：
主要なレンタルサーバー（エックスサーバー、ConoHa WING、さくらのレンタルサーバ、ロリポップ等）には、WordPress向けWAFが標準搭載されています。クロスサイトスクリプティング（XSS）やSQLインジェクション、不正なREST APIアクセスなどをサーバーの通信レイヤーで検知・遮断してくれるため、必ず「有効」になっていることをサーバーコントロールパネルで確認してください。

SSL証明書の自動更新状態の確認：
無料SSL（Let’s Encrypt等）は通常90日ごとに自動更新されますが、DNSの変更や認証ファイルの読み込みエラーなどにより、稀に自動更新に失敗することがあります。もし休暇の真ん中でSSL証明書の有効期限が切れると、サイト全体が「保護されていない通信」となりアクセス不能に陥ります。サーバーパネルやブラウザの証明書情報から、有効期限に十分な余裕があるか確認しておきましょう。

---

休暇中の異変をいち早く察知する「自動監視・アラート通知」の仕込み

対策を万全に施しても、休暇中にゼロデイ攻撃やサーバー障害が発生する可能性はゼロではありません。大切なのは、 「異変が起きた際に、人間が気づける仕組みを仕込んでおくこと」 です。

サイトのダウンを即座に知らせる死活監視ツール（UptimeRobot等）の無料設定

サーバーの停止や致命的なPHPエラーによってサイトが閲覧不能（500 Internal Server Errorや502 Bad Gateway等）になった場合、管理者が手動でアクセスしない限り気づくことができません。

そこで、外部の死活監視サービスを導入します。おすすめは世界中で広く使われている 「UptimeRobot（アップタイムロボット）」 です。

• 無料プランで十分 : 最大50件のURLを5分間隔で自動巡回可能
• 異常検知時の即時通知 : サイトがダウンした瞬間にメール、Slack、LINE、Teams等へアラート通知を送信
• 設定は3分で完了 : 監視タイプに「HTTP(s)」を選び、自社サイトのトップページURLと通知先メールアドレスを登録するだけ

UptimeRobotを仕込んでおけば、休暇中であっても「サーバーが落ちてサイトが消えている」という最悪の事態を即座にスマートフォンで把握できます。

セキュリティプラグインによる改ざん検知・不正ログイン通知のメール宛先確認

セキュリティプラグイン（WordfenceやSiteGuard等）のアラート通知メールが、 「オフィスのPCでしか受信できない会社のメールアドレス」 に設定されていないでしょうか。

休暇中は社内ネットワークに接続できず、緊急の不正ログイン通知やファイル改ざんアラートを見落としてしまうケースが非常に多く見られます。

1. 通知先メールアドレスの確認 : 休暇中もスマートフォンのメーラーでリアルタイムに確認できるアドレス、または担当部署の緊急通知用メーリングリストに変更・追加する。
2. 通知レベルの調整 : 通常のログイン成功通知まで飛ばすと通知が多すぎて見落とすため、「管理者権限でのログイン」「ログイン失敗ブロック」「コアファイルの変更検知」などの高危険度アラートのみを即時通知するよう設定する。

---

万が一に備える「緊急時エスカレーションマニュアル」の作成

休暇中に「サイトが見られなくなった」「改ざんの疑いがある」というアラートを受け取った際、誰がどのように動くべきかを事前に決めておかなければ、現場は混乱し初動が大きく遅れます。

社内担当者・Web制作会社・レンタルサーバー事業者の緊急連絡先シート

休暇に入る前に、関係者の連絡先と「休日対応の可否」を1枚のシートにまとめて関係者全員で共有しておきましょう。以下のテンプレートを活用してください。

緊急時エスカレーション連絡先整理テンプレート

役割・組織	担当者名	連絡先（電話 / メール / チャット）	夜間・休日の緊急受付可否
社内Web主担当	山田 太郎	090-XXXX-XXXX / t-yamada@example.com / Slack: @yamada	○（常時連絡可能）
社内Web副担当（承認者）	佐藤 花子	090-YYYY-YYYY / h-sato@example.com / Slack: @sato	○（緊急時のみ架電可）
委託先Web制作会社	株式会社〇〇 担当窓口	03-XXXX-XXXX / support@partner.co.jp	△（緊急障害窓口のみ対応 / 有償）
レンタルサーバー事業者	サポートデスク	契約マイページURL / 電話サポート番号	○（サーバー障害窓口は24時間受付）
ドメインレジストラ	管理部門	ログインURL / 認証コード保管場所	△（メールフォーム対応のみ）

特に 「制作会社が休暇中に緊急対応（有償駆けつけ・復元作業）を行ってくれる契約になっているか」 は、事前に必ず確認しておきましょう。契約外の場合、休暇が明けるまで一切作業してもらえないケースがあります。

休暇中に「サイトが見られない」「改ざんされた」場合の初動3ステップ（切り分け・アクセス制限・復元）

万が一、休暇中にインシデントが発生した場合は、慌てずに以下の3ステップで対応を進めます。

1. ステップ1：状況の切り分け
   サイトにアクセスし、エラーメッセージを確認します（403、500、データベース接続エラー等）。サーバー事業者の障害情報ページを確認し、データセンター全体の大規模障害やメンテナンス中ではないかを照会します。
2. ステップ2：被害拡大防止のためのアクセス遮断
   改ざんや不正リダイレクトが確認された場合、一般ユーザーへの被害拡大を防ぐため、 直ちにサイトへのアクセスを一時遮断 します。FTPまたはサーバーコントロールパネルのファイルマネージャーから、ルートディレクトリの .htaccess を編集し、自社の管理IPアドレス以外からのアクセスを遮断するか、503ステータスを返すメンテナンス画面を表示させます。
3. ステップ3：退避済みクリーンバックアップからの復元
   休暇前に取得・外部退避しておいた安全なバックアップデータを用いて、データベースとファイルを復元（リストア）します。復元後は直ちに全管理者のパスワードを変更し、侵入経路となったプラグインを特定・修正します。

# 管理者IPのみ許可し、他は一時的にアクセス制限（.htaccess例）
Order Deny,Allow
Deny from all
Allow from xxx.xxx.xxx.xxx # 管理者の現在IP

---

休暇明け（年明け・初出社日）に必ず実施すべき安全確認フロー

長期休暇が明けて最初に出社した日には、業務を本格再開する前に、サイトが休暇中に何者かによって改変されていないかを確認する 「初出社日の安全確認フロー」 を実施しましょう。

管理画面ログインログ・アクセスログの点検

WordPress管理画面にログインし、セキュリティプラグインのダッシュボードやアクセスログを確認します。

• 不審なログイン履歴の確認 : 休暇期間中（社員が誰もアクセスしていないはずの日時）に「ログイン成功」の履歴が残っていないか。
• 新規ユーザーの確認 : 「ユーザー ＞ ユーザー一覧」を開き、見覚えのない管理者（Administrator）アカウントが勝手に追加されていないか。
• プラグイン・テーマの変更確認 : 見覚えのない新規プラグインがインストールされていないか。

主要ページ（トップ・フォーム・固定ページ）の表示・動作確認

実際にブラウザを使って、サイトの主要な導線が正常に機能しているかを目視およびテスト操作で検証します。

• スマートフォン・シークレットウィンドウでのアクセス : キャッシュの影響を排除するため、ブラウザのシークレットウィンドウ（プライベートブラウズ）を使い、スマートフォン実機からもトップページにアクセスして不正なリダイレクトが起きないか確認する。
• 問い合わせフォームのテスト送信 : 問い合わせフォームや資料請求フォームからテスト送信を行い、正常に送信完了画面が表示され、自動返信メールが受信できるかテストする（休暇中のPHP更新等でメール送信機能が停止しているケースがあるため）。
• Google検索結果のインデックス確認 : Google検索窓で site:自社サイトのドメイン（例: site:example.com）と検索し、検索結果の最新一覧に不審な外国語（カジノ、医薬品、ブランドコピー品等）のスパムページがインデックスされていないか確認する。

---

まとめ：休業前の万全な備えで安心して長期休暇を迎えよう

年末年始をはじめとする長期休暇は、本来であれば社員やWeb担当者が心身をリフレッシュするための大切な期間です。しかし、事前の備えを怠れば、休暇中のサイバー攻撃によって初出社日に悪夢のようなインシデント対応に追われることになりかねません。

休業前の備えで特に重要なポイントを再確認しておきましょう。

1. 更新作業は休業の3〜5日前までに完了させ、数日間監視する（直前作業は厳禁）
2. クリーンな完全バックアップを取得し、必ずサーバー外（クラウドやローカル）に退避する
3. 管理者パスワードの強化、二要素認証（2FA）の導入、ファイル編集の無効化を徹底する
4. UptimeRobot等の死活監視ツールを設定し、休暇中も異変を即座にキャッチできる体制を整える
5. 緊急連絡先マトリクスを作成し、関係者間でエスカレーションルートを共有しておく

事前の総点検チェックリストを一つひとつ確実に消化し、万全のセキュリティ体制を整えて安心して長期休暇をお迎えください。