「アップデートの通知、なんとなく後回しにしてしまう……」そんな経験はありませんか。WordPressの管理画面に「更新があります」と表示されていても、「今は忙しいから」「壊れると困るから」と、つい先延ばしにしてしまう方は少なくありません。でも、その「後回し」が、あなたの会社を攻撃者の格好のターゲットにしているかもしれません。
ハッカー集団Qilinが語った「日本企業を狙う理由」
2026年11月、国際的なランサムウェア集団「Qilin（キリン）」がNHKの取材に応じ、日本企業を標的にする理由を明かしました。その言葉は衝撃的でした。
「あなたたち（日本）は本当にアップデートが嫌いなようだ。徹底的な調査のあらゆる段階で、古いバグが見つかる」
さらにQilinは、「5年前に公表された未修正の脆弱性を発見した」とも述べています。つまり、とっくに修正方法が公開されているにもかかわらず、アップデートをしていないがゆえに侵入を許してしまっているということです。
Qilinはロシアを拠点とみられるハッカー集団で、企業のデータを暗号化して身代金を要求し、盗んだ情報を公開すると脅す「二重脅迫」の手口で知られています。国内ではアサヒグループホールディングスへの攻撃で犯行声明を出し、財務情報や従業員の個人情報など27GB・9,300件以上のファイルを盗んだと主張。受注・出荷業務の停止、30工場での生産一時停止という深刻な被害をもたらしました。
「大企業だけの問題」ではない
「アサヒや大企業が狙われるなら、うちには関係ない」と思うかもしれません。しかし、Qilinのような攻撃者は特定の企業を手動で狙うのではなく、AIを使って脆弱なシステムを自動的にスキャンして大量に攻撃します。Qilin自身も「攻撃の一部には自ら開発したAIを使っている」と明言しており、「攻撃件数は今後も増え続ける」と話しています。
規模の大小は関係ありません。むしろ、セキュリティ担当者がおらず、アップデートが後回しになりがちな中小企業・小規模サイトの方が、格好のターゲットになりやすいのが現実です。
なぜ日本企業はアップデートを嫌がるのか
Qilinの発言を「言いがかり」と一蹴できないのは、実態として思い当たる節があるからではないでしょうか。日本企業がアップデートを後回しにしがちな理由は、主に次のようなものです。
- 「更新したら何か壊れるかもしれない」という不安
- 担当者不在で誰も管理できていない
- 「今のところ動いているから問題ない」という油断
- コスト削減でWeb保守を契約していない
この感覚自体は理解できます。実際、WordPressやPHPのアップデートは、やり方を間違えるとサイトに不具合が出ることもあります。だからこそ、「怖くて触れない」という状態が生まれやすい。しかし、攻撃者はその心理を熟知した上で、放置されたシステムを探し続けています。
アップデートを安全に続けるために必要なこと
テスト環境で確認してから本番に適用する
「アップデートで壊れた」という事態を防ぐには、本番サイトとは別のテスト環境でアップデートを試してから、問題がないことを確認した上で本番に適用するという手順が基本です。この流れを踏めば、不具合のリスクを大きく下げられます。
PHPのバージョンも定期的に見直す
WordPressはPHPというプログラム言語で動いています。PHPのバージョンが古いと、WordPress本体を更新しても根本的な脆弱性が残ったままになります。今年10月には「php2shell」（CVE-2026-109618/109619）という深刻度9.2の脆弱性が公表されるなど、PHPへの攻撃も増加しています。WordPressとPHP、両方の定期的な更新が不可欠です。
定期的なバックアップを忘れずに
万が一被害が出た場合に備え、定期的なバックアップを取っておくことも重要です。バックアップがあれば「元に戻す」という選択肢が残ります。
「アップデートしない」は最もコストが高い選択
| 状況 | 対処コスト |
|---|---|
| 定期的にアップデートを続けている | 月々の保守費用のみ |
| アップデートせず、脆弱性を突かれた | サイト復旧費用＋業務停止の損失＋信頼失墜 |
| ランサムウェアに感染・身代金を要求された | 身代金＋データ漏洩による法的リスク＋顧客対応費用 |
「保守費用がもったいない」という気持ちはよくわかります。しかし、Qilinが狙うのはまさにその「もったいない」という判断の積み重ねです。月々の保守費用は、被害が出た後の対処費用と比べると、圧倒的に安い「安心への投資」です。
まとめ
- 国際ハッカー集団Qilinは「日本企業はアップデートが嫌い」と明言し、それを標的にする理由に挙げている
- 5年前に公表済みの脆弱性が今も未修正のまま残っているケースが多い
- 攻撃はAIによる自動スキャンで行われ、企業規模に関係なく狙われる
- テスト環境での確認を経たアップデート＋PHPバージョン管理＋定期バックアップが基本の対策
横浜ネットサポートのWordPress保守サービス
弊社で構築・リニューアルしたWordPressサイトを対象に、月額15,000円で保守・メンテナンスを承っています。
- WordPressコア・プラグインの定期アップデート
- PHPバージョンアップ対応
- 定期バックアップ
アップデートはすべてテスト環境で動作確認を経てから本番に適用するため、「更新したら壊れた」というトラブルを防げます。新規制作・リニューアルの際はテスト環境の構築からご対応しており、その後の毎月の保守もそのままお任せいただけます。
他社で制作されたサイトの保守については、まずサイトの状況を確認させていただいたうえでご提案します。お気軽にご相談ください。
