GMOインターネットは2026年10月22日、「お名前.com デスクトップクラウド」への不正アクセスでサーバー内の取引口座ログイン情報などが外部に取得された可能性を公表しました。対象はこのサービスですが、教訓は全WordPress運用者に共通します。サーバー内の認証情報と管理画面の二段階認証を今日確認してください。
GMOインターネットは2026年10月22日、FX自動売買向けVPS「お名前.com デスクトップクラウド」が不正アクセスを受け、サーバー内に保存されていた取引口座のログイン情報などが第三者に取得され不正利用された可能性があると公表しました。影響範囲はこのサービスに限られますが、「サーバーの中に置いた認証情報は、サーバーが破られた瞬間にすべて持っていかれる」という点は、WordPressを使う企業サイトにもそのまま当てはまります。今日は自社サーバーに何が置いてあるかを10分で確認しましょう。
何が起きたのですか？
GMOインターネットは2026年10月19日に顧客からの問い合わせを受けて調査を開始し、10月20日に一部の顧客のサーバー環境で不正なプログラムの設置を確認しました。同日にサービスを停止し、10月22日に不正アクセスの事実を公表しています。
問題は、盗まれたのが「サイトのデータ」ではなくサーバーの中に保存されていたログイン情報だった点です。利用者はFX自動売買のためにVPS上に取引ツールと口座情報を置いていました。サーバーを押さえられた攻撃者は、その保存情報を使って別のサービスに正規のユーザーとしてログインできてしまいます。侵入された1台が、別の資産への入口になったとみられます。
WordPressサイトにも関係があるのですか？
今回の影響対象は「お名前.com デスクトップクラウド」で、同社のレンタルサーバーやドメイン管理が侵害されたという発表ではありません。お名前.comでドメインやサーバーを契約しているだけの企業が、ただちに被害を受けたわけではない点は押さえてください。
一方で、構図はWordPressと同じです。WordPressのサーバーにはwp-config.php にデータベースのユーザー名とパスワードが平文で書かれています。さらに、フォームプラグインのSMTP設定にはメールアカウントのパスワード、決済・配送・会計の連携プラグインにはAPIキーが保存されています。サーバーに侵入された時点で、これらは全部読まれる前提で考える必要があります。「WordPress本体を更新しているから安全」ではなく、破られた後に何が芋づる式に漏れるかまで想定するのが2026年の運用です。
サーバーの中に、置きっぱなしのファイルはありませんか？
実務で一番多い危険物は、過去の作業で置かれたまま忘れられたファイルです。次の3つは今日のうちに探してください。
- サイト直下のバックアップファイル（backup.zip、wp-content.zip、*.sql など）。URLを直接叩けば誰でもダウンロードでき、中にwp-config.phpが入っています。
- 制作会社から渡された手順書やパスワード一覧（Excel、テキスト、PDF）がサーバー上に残っていないか。
- 使っていないファイルマネージャー系プラグインやphpMyAdmin相当のツール。サーバー上から直接DBを操作できるものは、攻撃者にとっても便利な道具です。
FTPソフトまたはレンタルサーバーのファイルマネージャーでサイトのルートディレクトリ（public_html や www）を開き、ファイル名を更新日時順に並べ替えるだけで、心当たりのない新しいファイルや古い置き土産が見つかります。
今日の確認3点とは？
手を動かす順番です。所要時間は合計15分程度です。
- サーバー会社・ドメイン会社の管理画面に二段階認証を設定する。 WordPressの管理画面より先に、ここが突破されると復旧がほぼ不可能になります。お名前.com、エックスサーバー、さくらのレンタルサーバなど、主要事業者は二段階認証に対応しています。
- パスワードの使い回しをやめる。 サーバー管理画面・WordPress管理画面・メール・SNSで同じ文字列を使っているなら、今日その1つだけでも変更してください。流出した認証情報は他サービスへの総当たりに使われます。
- 管理画面のログイン履歴とユーザー一覧を見る。 WordPressの「ユーザー」画面で、管理者権限のアカウントが想定どおりの人数かを確認してください。身に覚えのない管理者がいれば、その時点で侵害を疑ってください。
中小企業は今日何をすべきか
- サーバー会社とドメイン会社の管理画面にログインし、二段階認証（2要素認証）をオンにする。設定箇所は「アカウント情報」「セキュリティ設定」にあります。未対応なら、パスワードを12文字以上のランダムな文字列に変更してください。
- FTPまたはファイルマネージャーでサイトのルートを開き、backup.zip・*.sql・パスワード一覧ファイルを削除する。削除前に手元にダウンロードして保管してください。
- WordPress管理画面の「ユーザー」で管理者権限アカウントを棚卸しし、退職者や解約した制作会社のアカウントを削除する。判断に迷う場合は、WP守るの無料WordPress安全診断（https://wp-mamoru.com/diagnosis/）で現状を確認できます。
よくある質問
お名前.comでドメインを取っているだけですが、何かすべきですか？
今回公表された影響対象は「お名前.com デスクトップクラウド」で、ドメイン管理だけの利用者に被害が出たという発表ではありません。ただし、ドメイン管理画面を奪われるとサイトの向き先を丸ごと変えられるため、この機会にログインパスワードの変更と二段階認証の設定を行うことをおすすめします。
wp-config.phpのパスワードが平文なのは普通ですか？
WordPressの仕様上、データベース接続情報はwp-config.phpに記載されます。そのため重要なのは、このファイルを外部から読まれないことです。wp-config.phpのパーミッションを400または440にする、サイト直下にバックアップZIPを置かない、サーバー管理画面を二段階認証で守る、という3点で実質的なリスクを下げられます。
サーバーが侵害されたかどうか、素人でも分かりますか？
完全な判定は難しいものの、兆候は見えます。ファイル一覧を更新日時順に並べて身に覚えのない新しいファイルがある、管理者ユーザーが増えている、検索結果に自社と無関係な日本語でない文字列が出る、といった場合は侵害の可能性があります。該当したらサイトを止めてログを保全し、専門業者に相談してください。
出典
