CMSとはコンテンツ・マネジメント・システム（コンテンツ管理システム）の略称で、簡単にいえばHTMLなどのWeb専門知識がない方でも、簡単にホームページの作成・更新・運営ができるシステムのことです。

 

昔のホームページ作成・更新の現場では、HTMLやCSSなどの言語に習熟する必要があり、作業の難易度が高いうえに大変な労力がかかっていました。

 

しかし、CMSで制作されたホームページなら、Webの初心者でもブラウザ上で文章や画像を入力するだけで、簡単に短時間で情報の更新やページの追加がおこなえます。

参考ページ：CMSとは？　意味と種類・ホームページへの導入事例をわかりやすく解説

参考ページ：CMSのメリット・デメリットを初心者向けに解説

参考ページ：ブラウザとは？　意味と種類、どれがオススメかを初心者向けに解説

WordPressなどのオープンソース型のCMSは、その他のCMSと比較して圧倒的なシェア率を誇り、利用している企業も莫大な数にのぼります。

それゆえ攻撃者が「この会社もWordPressを使っているな。サイバー攻撃ができそうだぞ」などと判断し、目を付ける確率が高いのです。

またオープンソース型CMSは利用者数が多いので、攻撃者が新しいサイバー攻撃の手法を生み出すメリットが大きくなるのも懸念点のひとつです。

たとえば1000万社が利用しているCMSと、1万社が利用しているCMSが存在するとします。

この場合、攻撃者は断然1000万社が利用しているCMSのほうを優先して、新たな脆弱性や攻撃手段を見つけようとするでしょう。

なぜなら1万社しか使っていないCMSの1000倍もの企業を、サイバー攻撃のターゲットにできるからです。

とりわけWordPressはシェア率が圧倒的に高いため、攻撃者側が未知の脆弱性や新たな攻撃手段を発見するインセンティブが非常に大きくなっています。

※脆弱性…情報システム上のセキュリティ的な欠陥のことで、「セキュリティホール」とも呼ばれる。

またオープンソースという形式も、セキュリティ面では大きなデメリットになります。

ソースコードが公開されているので、攻撃者側は脆弱性や攻撃手段を編み出しやすくなります。

これは間取りがわかっている建物のほうが、泥棒にとっては侵入しやすいのと同じです。

オープンソース形式自体にはプラグインを新規追加しやすいなどのメリットも大きいのですが、オープンソースである以上、攻撃者からセキュリティの穴を突かれやすいデメリットは避けられません。

1秒間に数万回もの大量のアクセスを企業ホームページに送りつけることで、サーバーをダウンさせる攻撃です。

参考ページ：サーバーとは何か？　ホームページ作成との関係を初心者へわかりやすく解説

DoS攻撃を受けると、ホームページが表示されない状況が長期間続き、会社のイメージダウンや機会損失につがなります。

現在は企業ホームページの脆弱性を突くサイバー攻撃が主流であり、これはファイアウォールでは防げない

以上で紹介した手法のうち、SQLインジェクションとクロスサイトスクリプティングの二つはいずれもホームページやCMSの脆弱性を突いた攻撃です。

人の手でプログラムを作成している以上、脆弱性を完全にゼロにすることは不可能であり、どんな優れたCMSでも脆弱性を突かれるリスクをはらんでいます。

  

そして、SQLインジェクションやクロスサイトスクリプティングのような、ホームページやCMS上の脆弱性を突いた攻撃はファイアウォールでは防げません。

 

ホームページやCMSのセキュリティ対策のお話をすると、「ウチはきちんとしたファイアウォールを構築しているから大丈夫だよ」とおっしゃる方も多いのですが、実はファイアウォールだけでは脆弱性を突いた攻撃には無防備な状態となっているのです。

CMSへのサイバー攻撃でまず懸念されるのが、個人情報の漏洩です。

各CMSにはホームページのWebフォーム（メールフォーム）に投稿した方の個人情報や、会員情報などが蓄積されているため、サイバー攻撃を受けるとそれらが漏洩する危険性があります。

2022年には、日本の国立大学の研究室が運用しているCMSが攻撃者によって侵入され、1000名を超える個人情報が漏洩する事件が発生しました。

出典：159サイトを運用するサーバに不正プログラム、CMSを侵害か（Security NEXT）

個人情報を漏洩させてしまった企業の平均損害賠償金額は約7,500万円とされており、会社のイメージが毀損されることも考慮すると、全体的な被害総額は計り知れません。

 

参考ページ：『WebサイトセキュリティはPDCAよりもCAPD、中小企業も無視できないサイバー攻撃の傾向と対策』（Web担当者Forum）

SQLインジェクションやクロスサイトスクリプティングなどの攻撃、あるいは不正ログインなどによってCMSに侵入されると、Webサイトが改ざんされてしまう危険性があります。

先述の地方の飲食店チェーンのホームページ（WordPressで構築）が改ざんされてしまった事例では、「破産手続きを開始し、各店舗を閉店した」との虚偽情報を掲載されたため、顧客や取引先に多大な不安を与える結果となりました。

さらに、こちらも先述しましたが自社のホームページ（WordPressで構築）が攻撃者に乗っ取られてしまい、詐欺サイトとして運用されていたケースも存在します。

また、Webサイトにマルウェアや後述するランサムウェアを仕込まれた場合、サイトを閲覧した人が次々と感染してしまいます。この場合、自社はサイバー攻撃を受けた被害者であるにもかかわらず、「マルウェア、ランサムウェア被害を拡大させた加害者」と扱われかねません。

近年、日本企業でランサムウェアの被害が急速に広がっています。

ランサムウェアとは、感染したコンピューターを操作不能、あるいはデータをロック状態にして、「解除してほしければ入金をしろ」と指示を出すマルウェアのことです。

ランサム（Ransom）とは身代金の意味で、コンピューターやデータを人質に取るさまから、この名前が付きました。

2024年には大手出版社グループがランサムウェアの被害を受け、グループ全体で利用していたシステムが長期間利用不可能になり、25万人分もの個人情報が流出する事態になりました。

参考ページ：作家も悲鳴､KADOKAWA｢サイバー攻撃｣の深刻度（東洋経済オンライン）

参考ページ：KADOKAWAサイバー攻撃、流出個人情報は25万人分　ニコニコユーザーは無事　端緒は従業員アカウントの漏えい（ITmedia）

ランサムウェアの被害を受けると、このように事業がストップし多大な損害が発生してしまいます。

さらにWebサイトの改ざんを受けると、自社がランサムウェアの被害者になるだけでなく、ランサムウェアを閲覧者へばらまく加害者になってしまう危険があります。

実際、過去にはWordPressで構築したサイトが改ざんされた結果、閲覧しただけでランサムウェアに感染する事件も発生しました。この事件ではWordPressだけでなく、同じくオープンソース型CMSであるJoomlaにも同様の問題が発生しています。

参考ページ：「WordPress」のサイトを閲覧するだけで感染するランサムウェアが「Joomla」にも拡大

オープンソース型CMSでは、ソースコード（設計図）が公開されているので、他のCMSで成功した攻撃手段を別のCMSにも応用しやすいのです。

現在CMSを運用するうえで、ランサムウェアは決して見過ごせない脅威になっています。

新聞・テレビなどにおけるサイバー攻撃被害の報道は、大企業がターゲットになった事件がほとんどなので、「サイバー攻撃を受けるのは大きな会社だけで、ウチみたいな中小企業は狙われないよ」と錯覚しがちです。

しかし実際には中小企業がターゲットにされるケースのほうが現在は多くなっているのです。

たとえば警察庁の資料によれば、2023年上半期にランサムウェア被害があった企業・団体の約6割は中小企業でした。

出典：ランサム被害の6割が中小企業､狙われる脆弱性（東洋経済オンライン）

また、2018年に大阪府内の30社の中小企業に対し、大阪商工会議所が神戸大学、東京海上日動と共同研究調査をしたところ30社全て（100％）で何らかのサイバー攻撃が観測されました。

出典：中小企業におけるサイバー攻撃の実態と対策（Tokio Cyber Port）

現在のサイバー攻撃は特定の企業を標的にして攻撃にしてくるよりも、絨毯爆撃のように手当たり次第サイバー攻撃を仕掛けてくるケースが多いので、大企業だろうと中小企業だろうと関係なく被害にあってしまうのです。

多くの中小企業はセキュリティ対策への意識が低く、体制も不十分です。

一般社団法人日本損害保険協会が2019年に実施したアンケート調査によれば、中小企業の経営者・役員のうち24.1％が「サイバー攻撃への対策をしていない」と回答しています。

出典：中小企業の経営者825人に聞いたサイバーリスクへの意識調査（一般社団法人 日本損害保険協会）

また、サイバー攻撃の予防や被害にあった際の対応で主軸になる情報システム担当者も、中小企業においてはごく少数か、もしくはゼロ人ということも少なくありません。

2019年・2020に大阪商工会議所が実施した調査だと、「情報システムの専任担当者がいる」と回答した中小企業はわずか6％でした。

出典：中小企業におけるサイバー攻撃の実態と対策（Tokio Cyber Port）

昨今、「ひとり情シス」という言葉がネット上でたびたび話題になっています。ひとり情シスとは、会社内にIT担当の専任者が1人しかおらず、業務負担が過大になっている状態のことです。

ですが、専任担当者がある会社がわずか6％ということは、多くの中小企業ではひとり情シスですらない「ゼロ情シス」であることになります。

以上の理由から多くの中小企業は、大企業と比較してセキュリティ対策が弱いのが現状です。

SSL（Secure Sockets Layer）とは、インターネット上の通信を暗号化して保護する技術です。

インターネット上のデータ通信は、第三者によって傍受・改ざんされる危険性がありますが、ホームページへSSLを導入すると、訪問者のブラウザとサーバー間のデータ通信を暗号化することで情報を保護します。

SSLを導入すると、サイトのURLがhttpからhttpsに変更されます。

現在はSSLが導入されていないホームページでは、ブラウザ上で「保護されていない通信」などの警告が出るほか、検索順位も低下させてしまいます。

今からCMSを利用してホームページを開設・リニューアルする場合は、かならずSSLを導入するようにしましょう。

参考ページ：SSLとは？　意味や仕組み、企業ホームページ導入のメリットを簡単説明

参考ページ：httpsとは？　httpとのちがいやセキュリティ上の意味を初心者向けに解説！

参考ページ：会社のホームページに、Google Chromeで「保護されていない通信」警告が出る理由と、解除する方法を解説！

先述したように、CMSの脆弱性を放置していると、SQLインジェクションもクロスサイトスクリプティングなどのサイバー攻撃を受けるリスクがあります。

しかしCMSは人の手で作られている以上、脆弱性を完全に排除することはできません。

また、発見された脆弱性をCMSの開発者側が改善しようとしても、修正には多大な時間がかかるのでその間に被害を受けつづけてしまいます。

 

ちなみに、このような脆弱性が修正されるまでのタイムラグを利用して攻撃をかける手法のことを、ゼロデイ攻撃と呼びます。

以上のようなサイバー攻撃への有効な対策として、WAFが注目されています。

WAFとはWeb Application Firewall（ウェブ・アプリケーション・ファイアウォール）の略で、CMSなどのWebアプリケーションの保護に特化したセキュリティ対策のことです。

 

「ワフ」とも呼ばれます。

WAFはホームページへのアクセスを常にリアルタイムで監視します。

 

そこで、SQLインジェクションやクロスサイトスクリプティングを仕掛けるような動きを攻撃者が試みると「これはサイバー攻撃の可能性が高い」とWAFが自動的に判断し、通信を遮断してくれます。

 

ちなみに、これまでのサイバー攻撃の手法から分析した攻撃パターンの情報をシグネチャ（signature）と呼びます。

 

シグネチャをもとに攻撃を検知して、自動的に防御するのがWAFの仕組みです。

WAFの大きなメリットは、CMSに予期していない脆弱性が潜んでいたとしても、攻撃パターンを読み取ってアタックを未然に防いでくれる点です。

 

また、脆弱性を修正されるまでのタイムラグにゼロデイ攻撃を受けつづけるリスクも減少します。

 

WAFによって、CMSのセキュリティが格段に向上しますので、ぜひ導入を検討してください。

参考ページ：WAFとは？意味と企業ホームページのセキュリティへのメリットを簡単に解説！

Webサイトの改ざんを受けた場合、既存のホームページのデータがすべて使用不能になってしまうこともあります。

飲食店チェーンがWordPressで構築したサイトを改ざんされた事例では、ホームページのデータがすべて消されてしまいました。

参考ページ：HPに偽の「破産手続き開始」の記載　常務「何でこんなことを…本当に悲しい」（FNNプライムオンライン）

企業ホームページを活用して集客するには、多くの良質なコンテンツを用意してGoogleやYahoo!からアクセスを呼びこむ必要があるので、コンテンツがゼロになると集客力も激減してしまいます。

参考ページ：SEO対策とは？　企業ホームページで集客する基本を初心者向けに解説

参考ページ：コンテンツSEOとは？　メリットとデメリット、実施する際の具体的な手順をWebマーケティング初心者へ解説！

参考ページ：アクセス数を増やせる、良質なSEOコンテンツの作り方を徹底解説！

ホームページやCMSのデータをあらかじめバックアップしておけば、万一サイバー攻撃を受けた場合も復旧できます。

バックアップは常に怠らないようにしましょう。

先述したように、WordPressなどのオープンソース型CMSは、これまで何度もサイバー攻撃の標的にされてきました。

そこで社内にセキュリティ対策に詳しい人材がいない場合は、いっそのことオープンソース型CMSではなく、商用パッケージ型CMSを導入するのも有効です。

オープンソース型CMSでは、バージョンアップやセキュリティ対策をすべて自分で実施する必要がありますが、商用パッケージ型CMSでは提供側のベンダーがセキュリティ対策を代行してくれるからです。

また、ホームページやCMSのデータバックアップも代行してもらえるので、万一サイバー攻撃を受けてしまった際も安心です。

SSL・WAF・IPSなどのセキュリティ対策がセットになった、商用パッケージ型CMSを選択するとよいでしょう。

ここまで解説してきたように、CMSのセキュリティ対策をおろそかにしていると、個人情報流出やWebサイト改ざんなどの深刻な被害を受けかねません。

さらに自社のみならず、ホームページを閲覧する顧客や取引先にも多大な迷惑をかけてしまいます。

CMSを導入する際には、セキュリティ面も忘れずに検討するようにしましょう。

なお、弊社の国産CMS・おりこうブログはSSL・WAF・IPSなどのセキュリティ対策を完備しており、データの定期的なバックアップも弊社が代行いたします。

「ITやセキュリティ対策に詳しい人材がいないけど、CMSを導入したい」という方は、ぜひ以下から詳細をご覧ください。