ホームページを公開してから、WordPressやプラグインの更新を最後にいつ行ったか、すぐに思い出せますか。「制作会社に作ってもらったきり、中身は触っていない」という企業や店舗は、実はとても多いのです。
けれども、更新されないまま放置されたサイトは、攻撃する側から見れば格好の入口になります。被害に遭えば、集客どころかサイトそのものが止まり、取引先にまで影響が及ぶこともあります。
ここからは、公的な統計をもとに、放置されたWordPressサイトがどれだけ狙われているかを見ていきます。保守で最低限やるべきことと費用の相場もあわせてまとめました。「うちは大丈夫だろうか」と少しでも感じた方は、判断材料にしてください。
目次
この記事の要点
- 中小企業・店舗サイトも「規模が小さいから狙われない」は誤解。BOTによる無差別スキャンで脆弱性があれば自動的に攻撃されます
- 2024年のランサムウェア被害の63%が中小企業で、被害額は73万円～1,000万円以上、復旧に1ヶ月以上かかる事例も少なくありません
- WordPress脆弱性の年間登録数は2024年に8,223件（前年比約68%増）。原因の多くはプラグインやテーマの放置です
- ホームページの保守は「オプション」ではなく前提。月額1万～3万円程度の定期保守で、多くのリスクを予防できます
- 安全な運用には、バックアップ・アップデート管理・セキュリティ監視を組み合わせた多層防御が欠かせません
中小企業を狙うWordPressの脆弱性リスク――公的統計から見える実態
ランサムウェア被害の63%が中小企業、前年比37%増の急増
「うちは小さい会社だから、狙われることはないだろう」――そう考えていませんか。実は2024年に報告されたランサムウェア被害のうち、約63%（140件）が中小企業でした。しかも中小企業の被害件数は前年比37%も増えています。規模の小ささは、もはや盾になりません。
無差別攻撃：BOTがスキャンし、脆弱性のあるサイトは自動で狙われる
攻撃者は「この会社は狙う価値があるか」を、いちいち人の目で判断しているわけではありません。BOT（自動プログラム）がインターネット上を無差別に巡回しており、古いバージョンのまま放置されたサイトを見つけると、自動で攻撃を仕掛けてきます。つまり、御社のホームページも常にスキャンの対象になっているということなんです。
WordPress脆弱性数が急増――2024年は前年比68%増の8,223件
WordPressは世界中で広く使われている分、脆弱性が見つかる数も年々増えています。2024年に登録された脆弱性は8,223件で、前年から約68%も増加しました。しかもその大半は、WordPress本体ではなくプラグインやテーマの放置が原因とされています。「本体さえ更新していれば安心」というわけにはいかないのですね。実際、直近3期で情報セキュリティ対策に投資していない中小企業は62.6%にのぼります。その理由の44.3%は「必要性を感じていない」というものでした。この意識のギャップこそが、狙われる一番の隙かもしれません。
保守しないホームページが招く被害：集客停止から社会的信用失墜まで
ハッキング被害の平均額は73万円～。復旧に1ヶ月以上かかる事例も半数近い
サイバー被害に遭った場合、1社あたりの平均被害額は73万円です。うち9.4%は、100万円を超えています。復旧までの平均日数は5.8日ですが、ランサムウェア被害に限ると事態はさらに深刻です。調査・復旧に1,000万円以上を要した組織は50%に増えました。復旧に1ヶ月以上かかった組織も49%にのぼります。
改ざんされたサイトはGoogle検索から除外される。集客ルートの喪失
ホームページが改ざんされると、検索エンジンから警告が出たり、検索結果から除外されたりすることがあります。2025年第2四半期には、Webサイト改ざんの被害報告数が前四半期の約2.4倍に急増したという報告もあります。せっかく育てた集客ルートが、ある日突然消えてしまうということなんです。
取引先への連鎖被害。信用回復に数ヶ月単位の時間が必要
被害企業の約7割は、取引先の事業にも悪影響を及ぼしたと報告されています。自社のホームページが攻撃の踏み台にされることもあります。取引先にまで迷惑をかけてしまえば、信用回復には長い時間がかかります。
WordPress保守の最小構成――多層防御の必須要素
定期バックアップと復旧体制
万が一の際に「元に戻せる状態」を保っておくことが、保守の土台です。定期的にバックアップを取得し、復旧できる体制を整えておけば、被害を最小限に抑えられます。
アップデート管理とテスト環境の必須性
WordPress本体やプラグインの更新は、そのまま本番環境に反映すると、表示崩れやエラーを起こすことがあります。テスト環境で動作を確認してから反映する、という一手間が欠かせません。
プラグイン・テーマ管理とセキュリティ監視
使っていないプラグインやテーマを残したままにしていませんか。それ自体が脆弱性の温床になります。定期的な棚卸しと、不審なアクセスを見張るセキュリティ監視をあわせて行うことで、多層的な防御になります。
ホームページ保守費用の相場と内容比較
保守費用は「何を含むか」で大きく変わります。相場感をつかんでおくと、見積もりを比較しやすくなります。
- 月額5,000円以下：サーバー・ドメイン・常時SSLの維持のみ。バックアップやアップデート管理は含まれず、不具合対応は都度有料になることが多いです。
- 月額1万～3万円：中小企業・店舗サイトの標準的な相場です。定期バックアップ、本体・プラグインのアップデート管理、セキュリティ監視、軽微な修正までを含みます。
- 月額3万～5万円以上：中～大規模サイトやECサイト向けです。24時間監視や復旧保証、アクセス解析レポートなどが加わります。
なお、既存サイトの初期診断やバックアップ体制の構築には、初期費用として10万円程度からかかることも珍しくありません。
よくある質問
うちみたいな小さな店舗のホームページは、ハッカーに狙われることはありませんよね？
そこが大きな誤解なんです。攻撃はBOTによる無差別スキャンが中心で、規模や業種は関係ありません。古いWordPressやプラグインが残っていれば、自動で狙われる対象になります。
WordPressは無料だし、自動更新にしておけば保守費用は不要では？
更新自体は無料ですが、テストなしの自動更新には落とし穴があります。プラグインとの相性が悪くエラー表示になったり、問い合わせフォームが動かなくなったりすることも珍しくありません。
セキュリティプラグインを1つ入れておけば対策は完璧では？
残念ながら、1つのプラグインだけで万全にはなりません。そのプラグイン自体に脆弱性が見つかることもあります。バックアップや監視など、複数の対策を組み合わせる多層防御が現実的です。
制作会社に作ってもらったのだから、納品後の保守も含まれているんでしょう？
そうとは限りません。制作と保守運用は、多くの場合別の契約です。保守契約を結んでいないと、納品時のまま放置される状態になってしまいます。ホームページは、作ったあとの運用こそが本当の仕事といえます。
まとめ
ホームページは公開した瞬間がゴールではなく、そこからの運用こそが本番です。日本人財株式会社では、滋賀県草津市を拠点に、ホームページ制作だけでなく、公開後の保守やセキュリティ対策のご相談も承っています。今のサイトがどんな状態か、まずは現状を確認してみませんか。プランのご相談や制作に関するご質問は、お気軽にご連絡ください。
