WordPressのセキュリティ製品を手がけるMelapressが、毎年行っている調査の2026年版を公開しました。制作会社、開発者、デザイナー、サイト運営者など319件の回答をまとめたもので、10月に入ってからも内容が更新されています。数字を眺めていくと、守りの道具よりも「気づき方」と「戻し方」に課題が残っている様子が見えてきます。

まず、回答者の67.7%が少なくとも1回はセキュリティ上の被害を経験しており、2回以上という人も45.5%いました。被害の中身で最も多かったのはサイトの停止で、被害を受けた人の68.4%が挙げています。改ざんや情報の流出よりも先に、単純に「サイトが動かなくなる」ことが一番身近な損失になっているわけです。

最初に気づくのは誰か

今回の調査で目を引いたのは発覚のきっかけです。被害を受けた人のうち42.6%は、誰かがサイトの様子がおかしいと知らせてきたことで気づいたと答えています。ログや通知の仕組みで気づいた人は38.4%、ホスティング会社やサーバーからの通知が35.6%、マルウェアの検査ツールが30.1%でした。自前の監視よりも、訪問者や取引先の指摘のほうがわずかに多いという結果です。

さらに、検索エンジンの警告で発覚した被害は、その後の影響が大きくなる傾向が出ています。検索順位を落とした割合は、ほかの経路で気づいた場合の14.5%に対して45.9%でした。調査側も、警告が被害を大きくしたのではなく、警告が出るころには手遅れに近いほど進んでいる、という読み方をしています。Search Consoleの警告を見てから動くのでは遅い、ということは現場の実感とも重なります。

一方で、備えの数字はほとんど動いていません。侵害から立て直す計画を持っている人は27.9%で、前年の27%とほぼ同じです。運用を社内の担当者が見ている場合は35.5%が計画を持っていたのに対し、制作会社やフリーランスに任せている場合は22.8%にとどまりました。調査側は、外部の側では手順があっても依頼主にそれが伝わっていないだけかもしれない、とも書いています。

サイトの種類による違いも出ています。企業やブランドのサイトに関わる回答者は70.2%が操作の記録や監視を入れていて、そうでない回答者の46.6%を大きく上回りました。ネットショップに関わる回答者は立て直しの計画を持つ割合が35.8%と高めでしたが、被害を受けたときに検索順位を落とした割合も31.9%と、ほかの種類のサイトの倍以上でした。売上や顧客の信頼に直結するサイトほど、気づくのが遅れたときの痛手も大きいということでしょう。

受託で保守を受け持つ立場から見ると、この最後の点は耳が痛いところです。異変の通知を誰が受け取るのか、誰が復旧を判断するのか、取引先への連絡は誰がするのか。こうした分担を依頼主と言葉にして共有しておくだけでも、外から指摘されて慌てる場面は減らせるはずです。バックアップを取っているだけで、実際に戻したことがないという状態も、一度見直しておきたいところです。