WEB業界で働く人や興味がある人に役立つ情報サイト“qam（カム）”

投稿者： たかし
カテゴリー： トレンド >TIPS

仕事納めの日、パソコンの電源を落として、そのまま年明けまで管理画面を開かない。
そんな方も多いのではないでしょうか。

年末年始は、Webサイトやメールを見る人がいなくなる時期です。
そのため、何かが起きても気づくのが休み明けになりがちです。攻撃する側にとっては、見つかりにくく、対応も遅れる都合のよい期間といえます。

今回は、長い休みに入る前に済ませておきたい点検を、Webサイト・パソコン・アカウントの3つに分けてご紹介します。
最後にチェックリストもまとめていますので、休み前の確認にお使いください。

なぜ休みの間は狙われやすいのか

休みの間に起きた被害が大きくなりやすいのは、攻撃が増えるからというより、気づくまでの時間が長くなるからです。

普段なら翌日には気づくような異常も、休み中は1週間以上そのままになります。

• サイトが改ざんされ、訪問者を偽サイトへ誘導し続けてしまう
• お問い合わせフォームが迷惑メールの送信に悪用される
• 乗っ取られたアカウントから、取引先へ不審なメールが送られる

どれも、気づくのが早ければ被害を小さく抑えられるものです。
休み前の点検は「攻撃を防ぐ」ためだけでなく、何かあっても被害を広げないための準備でもあります。

Webサイトの点検

① CMS本体・プラグイン・テーマを最新にする

WordPressなどのCMSを使っている場合は、休みに入る前に更新を済ませておきましょう。
古いままのプラグインは、改ざんの入り口として狙われやすい部分です。

ただし、更新後に表示が崩れることもあります。
仕事納めの当日ではなく、数日前に更新すると、不具合が出ても落ち着いて対応できます。

更新を後回しにするとどうなるかは、知らないうちに乗っ取られる。WordPressサイトの改ざん、原因の多くは「更新忘れ」 で詳しくご紹介しています。

② バックアップを取り、戻せることを確認する

バックアップは「取ってある」だけでは安心できません。
いざというときに戻せなければ、意味がないからです。

• ファイルとデータベースの両方が保存されているか
• 保存先がサイトと同じサーバーだけになっていないか
• 戻す手順を、担当者以外も分かるように書き残しているか

③ 使っていない管理者アカウントを削除する

退職した人や、制作をお願いした外部の方のアカウントが残っていないか確認しましょう。
使われていないアカウントは、パスワードが漏れても誰も気づきません。
不要なものは削除し、残すものは権限を必要な範囲に絞っておきます。

④ お問い合わせフォームの通知先を確認する

フォームの通知が、休み中に誰も見ないアドレスだけに届いていないでしょうか。
休業期間をサイト上でお知らせし、返信は休み明けになることを書いておくと、問い合わせた方も安心できます。

パソコンの点検

① OSとブラウザの更新を済ませる

Windowsの更新プログラムやブラウザの更新は、休み前にすべて適用しておきましょう。
「再起動が必要です」の表示を後回しにしていると、更新が終わっていないこともあります。

ブラウザの設定は、Google Chromeのセキュリティを強化する5つの設定方法 やMicrosoft Edgeのセキュリティを強化する5つの設定方法 もあわせて確認してみてください。

② 持ち帰る端末の紛失に備える

ノートパソコンを持ち帰る場合は、帰省先や移動中の紛失にも備えておきたいですね。

• 画面ロックとパスワード（またはPIN）が設定されているか
• ディスクの暗号化（WindowsのBitLockerなど）が有効になっているか
• 必要のない顧客データを、端末に保存したままにしていないか

③ 社内に置いていく機器の電源を確認する

休み中に使わないパソコンや機器は、電源を切っておくのが基本です。
つけたままにする必要がある機器は、誰が管理しているかをはっきりさせておきましょう。

アカウントの点検

① 多要素認証を設定する

サイトの管理画面、メール、SNSなど、乗っ取られると困るアカウントには多要素認証を設定しておきましょう。
パスワードが漏れても、それだけではログインされにくくなります。

最近はパスワードを使わない「パスキー」に対応したサービスも増えています。
移行を考えている方は、【パスワードレス時代へ】パスキー移行の準備チェックリスト も参考にしてください。

② 同じパスワードを使い回していないか見直す

複数のサービスで同じパスワードを使っていると、ひとつ漏れただけで他のアカウントにも入られてしまいます。
覚えきれない場合は、パスワード管理ツールを使うのがおすすめです。
使い方はパスワード管理ツール「1Password」の使い方 でご紹介しています。

③ SNSの公式アカウントを確認する

会社の公式SNSは、休み中に乗っ取られると、偽の情報を発信し続けてしまうおそれがあります。
ログインできる人と、登録されているメールアドレス・電話番号が最新かどうかを確認しておきましょう。
詳しくはSNSアカウント乗っ取りとは？アカウント管理の基本 をご覧ください。

何か起きたときの連絡先を決めておく

休み中に「サイトが表示されない」「変なメールが届いた」と連絡が来たとき、誰に相談すればよいか決まっているでしょうか。

次の3つを書き出して、関係者で共有しておくだけでも、いざというときの動きが大きく変わります。

1. 最初に連絡する人（担当者と、その人に連絡がつかないときの代わりの人）
2. サーバー会社・制作会社など、外部の連絡先と受付時間
3. まずやること（サイトを一時的に非公開にする、パスワードを変更するなど）

外部の会社も年末年始は休業していることが多いため、受付期間を事前に確認しておくのがポイントです。

休み明けにやること

点検は休み前だけでは終わりません。
休み明けの最初の日にも、次のことを確認しておきましょう。

• 休み中に出たOSやソフトウェアの更新を適用する
• サイトが普段どおり表示されるか、フォームが送信できるかを確認する
• たまったメールの中に、不審なメールが混ざっていないか注意して開く

休み明けは大量のメールに紛れて、取引先や配送業者を装ったメールが届きやすい時期です。
添付ファイルやリンクは、送信元をよく確かめてから開くようにしましょう。
見分け方は【対策必須】悪質な「なりすましサイト」を見破るためのチェックリスト でまとめています。

まとめ

年末年始のセキュリティ対策は、特別なことをしなくても大丈夫です。普段の点検を、休みに入る数日前までに済ませておくだけで、被害の多くは防いだり小さくしたりできます。
最後に、今回の内容をチェックリストにまとめました。

対象	確認すること
Webサイト	□ CMS本体・プラグイン・テーマを更新した □ バックアップを取り、戻し方を確認した □ 使っていない管理者アカウントを削除した □ フォームの通知先と休業のお知らせを確認した
パソコン	□ OSとブラウザを更新した □ 持ち帰る端末の画面ロックと暗号化を確認した □ 使わない機器の電源を切った
アカウント	□ 重要なアカウントに多要素認証を設定した □ パスワードの使い回しを見直した □ 公式SNSのログイン情報を確認した
連絡体制	□ 担当者と代わりの人を決めた □ 外部の連絡先と受付期間を確認した
休み明け	□ 更新を適用し、サイトとフォームの動作を確認した □ 不審なメールに注意して開いた

全部を一度に済ませるのが難しい場合は、まずWebサイトの更新とバックアップから始めてみてください。
落ち着いて新しい年を迎えるためにも、休みに入る前に一度確認しておきましょう。