ECサイトのセキュリティ対策｜WordPressでの対策例も紹介

2021年12月29日2024年1月30日

ECサイトの運営では、セキュリティ対策が絶対に欠かせません。
顧客の個人情報保護と信頼の確保は、通販ビジネスの成功にとって不可欠です。

この記事では、ECサイトのセキュリティを強化するための基本的な対策から、WordPressでサイトを構築する際のセキュリティ強化の具体的な手順までを詳しく解説します。

2024年最新のセキュリティトレンドに基づいた実践的なアドバイスを提供し、あなたのECサイトをより安全なものにするためのガイドとなるでしょう。

なぜECサイトのセキュリティ対策が重要なのか？

インターネットの普及に伴い、ECサイトは顧客の個人情報やクレジット情報を扱う重要なプラットフォームとなっています。
セキュリティ対策が不十分な場合、不正アクセスやデータ流出のリスクが高まり、企業の信頼性やビジネスの存続が脅かされる可能性があります。

ここでは、ECサイトのセキュリティがなぜこれほど重要なのかを掘り下げて解説します。

個人情報やクレジット情報の保護

ECサイトは、顧客の個人情報やクレジット情報を大量に保持しています。
これらの情報が不正にアクセスされたり流出したりすると、顧客は大きな被害を受ける可能性があります。

例えば、コンピューターウイルスによるデータ流出や、サイトの改ざん、クレジットカード情報の不正利用などが挙げられます。

このような被害を防ぐためには、セキュリティ対策を徹底し、個人情報を厳重に保護することが不可欠です。

法規制への適合とビジネスリスクの軽減

個人情報保護法など、様々な法規制がECサイトに適用されます。
これらの法規制に違反すると、企業は重い罰金や法的責任を負う可能性があります。

また、セキュリティ対策が不十分な場合、潜在的なリスクとして賠償責任やブランドイメージの損失が考えられます。

流出した個人情報1件あたりの損害賠償額は5,000円～15,000円とされており、被害規模が大きくなれば経営にも重大な影響を及ぼす可能性があります。

従って、法規制への適合とビジネスリスクを軽減するためにも、セキュリティ対策は重要です。

顧客からの信頼維持

顧客からの信頼は、ビジネスの成功にとって不可欠です。
セキュリティ上のトラブルが発生すると、顧客はそのECサイトに対して「セキュリティに懸念がある」と判断し、将来的にサービスを利用しなくなる可能性があります。

また、セキュリティ問題が発生した場合、ブランドイメージが損なわれるだけでなく、取引先との関係も悪化することがあります。

最悪の場合、サイトの閉鎖を余儀なくされることもあるため、顧客の信頼を維持するためにも、セキュリティ対策は不可欠です。

ECサイトのセキュリティ対策

ECサイトのセキュリティ対策は下記に記載しております。

パスワード管理を徹底し、定期的に変更する
不正アクセスを検知する仕組みを導入する
プログラムの脆弱性を認識して対策をする
顧客の個人情報を適切な状態で管理する
サーバーのOSやプログラムのアップデートを都度実施する

ECサイトのセキュリティ対策において、重要なポイントを具体的に確認していきましょう。

①パスワード管理を徹底し、定期的に変更する

ECサイト以外のWebサイトでも同様ですが、サイトの管理画面にログインする際に使うパスワードの管理は徹底されていなければなりません。

社内や関係者内で共有されているかと思いますが、外部に流出すればサイトはすぐに乗っ取られ、管理権限なども変更され、アクセスが拒否されてしまう可能性もあります。

また、しっかり管理できていたとしても、長い間同じパスワードを使っていると辞書攻撃などの力技で突破されてしまう可能性も出てきます。

パスワードをしっかり管理し、流出を防ぐとともに、定期的に変更しておくことも忘れないようにしましょう。

②不正アクセスを検知する仕組みを導入する

Webサイトのセキュリティを突破するべく仕掛けられるサイバー攻撃には、さまざまな種類のものがあります。
以下に代表的なものを挙げていきます。

フィッシング: 企業や事業者などを装い、電子メールを送って個人情報・クレジットカードの情報・パスワードなどを抜き取る
Dos攻撃: Webページの更新を繰り返すなどして、サイトのサーバーに過剰な負荷をかけたり、サイトへのアクセスを妨害したりする
水飲み場攻撃: ターゲットであるWebサイトを攻撃し、そのWebサイトにアクセスした人に対して不正なプログラムを発動させ、パソコンをウイルスに感染させる
ウイルス攻撃: アプリケーションに自主的に増殖していくウイルスを寄生させて、パソコン内部に影響を与える
トロイの木馬: 増殖・拡散などはせず、仕掛けられたプログラムが実行されると共に発動するタイプのウイルス
バックドア: ウイルスやワームなどが入りやすくなるような抜け道を作る
スパイウェア: パソコンに侵入し、内部の情報を外部に送る

ニュースなどでは、ひとくちに「サイバー攻撃」「不正アクセス」と呼称していますが、実際にどのような攻撃がされているかというと、このように幅広い種類があるのです。

多岐にわたるサイバー攻撃からECサイトを守るためには、

不正アクセスを検知する仕組みを導入する
導入後もシステムを定期的にアップデートし、最新のバージョンを保つ

ことが大切です。

③プログラムの脆弱性を認識して対策をする

大手企業のサイトに対しても起こる不正アクセスですが、多くのケースでは、Webサイト内のプログラムやOSの脆弱性をつかれてセキュリティが突破されてしまっています。

プログラムに脆弱性が生まれる理由の中でも最も多いパターンは、

プログラムのアップデートきちんと行われていない
プログラムの構成が単純である

ことです。

サイト内のプログラムに脆弱性があるかどうか、もし脆弱性があるならば、原因を突き止めて解消しましょう。

④顧客の個人情報を適切な状態で管理する

顧客の個人情報を安全に管理するためには、インターネット上で直接アクセスできない場所に情報を保存することが重要です。
公開フォルダのようにURLを知れば誰でもアクセス可能な場所に個人情報を保管すると、流出リスクが高まります。

この保護は、個人情報だけでなく、その情報へのアクセスに必要なパスワードやサーバーの設定ファイルなど、関連情報にも及びます。
また、不要になった情報は随時削除し、情報保護を徹底しましょう。

インターネット上に公開された情報については、削除してもキャッシュとして残る可能性があります。
削除後もキャッシュが残っている場合は、検索エンジン運営企業に連絡し、キャッシュの削除を依頼することが重要です。

また、顧客情報を含む書類を物理的に保管する際には、保管室や金庫の使用が効果的です。
更に、入退室管理システムを導入することで、人為的な不正行為を防ぐことができます。

⑤サーバーのOSやプログラムのアップデートを都度実施する

OSやプログラムの脆弱性対策にもつながりますが、適切なアップデートをその都度実施することも、重要なセキュリティ対策です。

クラウド型のECサイトなどでは、開発元によって随時アップデートが行われていますが、オープンソースを使って構築されたECサイトでは、新しいバージョンへのアップデートを、その都度行うことを忘れないようにしましょう。

WordPressを用いたECサイト構築時のセキュリティ対策

小規模なオンラインショップであれば、既存のECシステムを利用するのではなく、Wordpressを使ってECサイトを運営することもあるでしょう。

このトピックでは、Wordpressで作成したECサイトのセキュリティ対策についてもご紹介します。

①WordPressの設定のセキュリティチェック

WordPressを安全に運用するためには、その設定を定期的に見直し、セキュリティを強化する必要があります。

まず、管理画面のユーザー名とパスワードは、推測されにくい複雑なものに変更しましょう。
これにより、不正なアクセスのリスクを減らすことができます。

次に、WordPressのバージョン、プラグイン、テーマを最新のバージョンに保つことも重要です。
古いバージョンにはセキュリティの脆弱性が存在する場合があるため、定期的な更新は必須でしょう。
さらに、使用していないプラグインは削除することで、不要なリスクを排除します。

これらのステップにより、WordPressのセキュリティ状況を確実に改善し、サイトを安全に保つことができます。

具体的な確認すべきチェック箇所

管理画面のユーザー名とパスワード

デフォルトの「admin」などの一般的なユーザー名を避け、固有のものに変更する。
パスワードは長く、複雑で、予測不可能なものに設定する。

WordPressコア、プラグイン、テーマの更新

常に最新バージョンに更新する。
定期的にアップデートを確認し、セキュリティパッチを適用する。

不要なプラグインとテーマの削除

使用していないプラグインとテーマは削除し、サイトを軽量化する。
削除することで、潜在的な脆弱性を排除する。

ファイル編集の無効化

WordPress管理画面からのファイル編集を無効化して、万が一の不正アクセスを防止する。

デバッグモードの無効化

本番環境ではデバッグモードを無効にし、エラーメッセージを非表示にする。

SSLの利用

SSL証明書を導入して、サイト全体をHTTPSで運用する。

ログイン試行回数の制限

『総当たり攻撃』を防ぐため、ログイン試行回数を制限するプラグインを導入する。

バックアップの設定

定期的にサイトのバックアップを取る設定を行い、万一の際に備える。

②セキュリティプラグインの選定と導入

WordPressのプラグインには、セキュリティ対策に役立つものが多数あります。
2024年時点で、おすすめのセキュリティ関連のプラグインは、下記の通りです。

2024年最新おすすめセキュリティプラグイン

①Wordfence Security: マルウェアスキャン、ログインチェックなど総合的なセキュリティ対策が特徴。
多くのインストール数を誇り、信頼性が高い。
②Sucuri Security: マルウェアスキャン、ブラックリスト監視など包括的なセキュリティ機能を提供。
特に包括的なセキュリティ対策を求める場合におすすめ。
③All In One WP Security & Firewall: 基本的なセキュリティ機能とファイアウォール機能を兼ね備え、使いやすさと機能のバランスが良い。
④SiteGuard WP Plugin: 管理ページとログインページの保護に特化。
使い勝手が良く、初心者にもおすすめ。
⑤Solid Security: 直感的なインターフェースと強力な保護機能が特徴。
特にユーザーフレンドリーな操作性を重視する場合に適している。
⑥WP Activity Log: サイトのアクティビティログを詳細に追跡し、管理する機能を提供。
セキュリティ管理において詳細な確認を行いたい場合に最適。

③パーミッションを変更する

パーミッション設定は、サーバー上のファイルやフォルダへのアクセス権限を管理する重要なプロセスです。

具体的には、3桁の数字を使って、どのユーザーがファイルやフォルダに対してどのような操作（読み取り、書き込み、実行）を許可するかを定義します。
適切なパーミッション設定は、サイトのセキュリティを大きく向上させることができます。

パーミッションを変更するにはFTPソフトウェアを使用します。
多くのフリーソフトが利用可能であり、それぞれのソフトウェアのマニュアルに従い設定を行います。

最も厳格なパーミッション設定は「400」ですが、すべてのサーバーで設定可能とは限りません。
もし「400」が設定できない場合は、「600」を設定することが推奨されます。

これにより、ファイルやフォルダへの無許可アクセスを効果的に防止することができます。

おすすめのFTPソフトウェア

①FileZilla

MacとWindowsの両方に対応しており、高速な転送速度が特徴。
初心者には少し難しい部分があるかもしれませんが、機能が豊富で、表示のカスタマイズも可能。
オープンソースで開発されており、安定性が高い。

②Cyberduck

WindowsとMacの両方で使用可能で、FTPやSFTPのサポートに加え、WebDAVやAmazon S3などもサポートしている。
さまざまなクラウドストレージサービスにも対応しているため、幅広い用途に利用可能。

③WinSCP

Windows専用のソフトで、使いやすいインターフェースを備えている。
ドラッグ＆ドロップでの操作が可能で、エクスプローラスタイルのインターフェースを選択可能。
セキュリティに強く、SCPやSFTPでの暗号化転送をサポート。

これらのソフトウェアは、FTPを利用する際に便利で、安全なファイル転送を可能にします。
ニーズに合わせて選択してみてください。

④二要素認証（2FA）の導入

WordPressを用いたECサイト構築時に二要素認証（2FA）を導入することは、セキュリティを大幅に強化する重要な手段です。

二要素認証とは、通常のユーザー名とパスワードに加えて、別の認証要素を用いることで、不正アクセスのリスクを低減します。

二要素認証（2FA）の概要

二要素認証の仕組み: 通常のログイン処理に加えて、ユーザーはスマートフォンアプリやメールで受け取る一時的な認証コードを入力する必要があります。
この追加ステップにより、単にパスワードを知っているだけではアクセスできなくなります。
二要素認証の導入手順: 手順①：WordPressでの二要素認証の導入には、特定のプラグイン（例：「Two-Factor」や「Google Authenticator」）を利用します。
手順②：これらのプラグインをインストールし、『有効化』にした後、設定を行います。
手順③：ユーザーは個々のアカウントで二要素認証を設定でき、スマートフォンアプリなどを用いて認証プロセスを完了させます。
バックアップコードの発行は必須: 二要素認証を導入する際は、スマートフォンを失くしたり、アクセスできない場合に備えてバックアップコードを生成しておくことが重要です。
このコードは、通常の二要素認証が利用できない状況でのログインに使用されます。
認証方法は選択肢がある: 二要素認証プラグインは通常、複数の認証方法を提供します。
たとえば、時間ベースのワンタイムパスワード（TOTP）、SMSメッセージ、メールでのコード送信などがあります。
ユーザーは、これらの方法から自身に最適なものを選択できます。

二要素認証の導入は、WordPressを用いたECサイトのセキュリティを強化する上で非常に有効な手段です。

特に個人情報やクレジットカード情報などを扱うECサイトにおいては、二要素認証を導入することで、セキュリティ対策を大きく向上させることができます。

⑤定期的なバックアップとリカバリプロセスの確立

WordPressを用いてECサイトを構築する際には、定期的なバックアップとリカバリプロセスの確立が非常に重要です。
これにより、データ損失や不正アクセスによる被害を最小限に抑え、迅速な復旧が可能になります。

バックアップの概要

バックアップの重要性: WordPressサイトは、コードの更新、プラグインの追加、コンテンツの投稿などで常に変更が行われます。万が一の事態に備え、定期的なバックアップは欠かせません。
バックアップにより、データが失われたりした場合でも以前の状態に復元することが可能です。
バックアップ方法: バックアップには主に2種類の方法があります。
方法①：ホスティングサービスが提供するバックアップ機能を利用する方法。
方法②：WordPress用のバックアッププラグイン（例：UpdraftPlus , Jetpackなど）を使う方法。
これらのプラグインは、サイトのデータベースとファイルを定期的に自動でバックアップし、クラウドストレージサービスに保存します。
リカバリプロセスの確立: バックアップのみならず、リカバリ（復旧）プロセスの確立も重要です。
万が一の際に、どのようにしてサイトを元の状態に戻すかを事前に計画し、試験的にリストア（復元）を行うことが望ましいです。
これにより、実際に問題が発生した際のダウンタイムを最小限に抑えることができます。
バックアップの定期的な確認: バックアップが正しく行われているかを定期的に確認し、バックアップデータが有効かどうかをチェックすることが重要です。
これには、バックアップデータの完全性やリカバリプロセスの動作確認が含まれます。