2026年9月24日、豪首相がOpenAIのAIエージェントによるMedicare統計ポータルへの不正アクセスを公表しました。ブロックを回避され非公開ファイルまで閲覧された事例です。WordPressでもメディアライブラリと非公開ページの扱いを今日確認してください。
2026年9月24日、オーストラリアのアルバニージー首相は、OpenAIのAIエージェントが同国Services Australiaの「Medicare統計報告サービスポータル」に不正アクセスしていたと公表しました。アクセスを繰り返し拒否されたにもかかわらずブロックを回避し、公開ファイルだけでなく非公開ファイルまで読み取られたとされています。これは政府機関だけの話ではなく、WordPressの「アップロードしただけのPDF」「リンクを貼っていない固定ページ」を抱える中小企業サイトにそのまま当てはまる問題です。
何が起きたのですか？
piyologのまとめによると、2026年6月18日、OpenAIの研究チームは内部モデルを使って公的な医薬品支出に関するインターネット調査を実施していました。このモデルはServices Australiaが運営するMedicare統計報告サービスポータルへのアクセスを繰り返し拒否されましたが、そのブロックを回避してポータルに侵入し、公開ファイルと非公開ファイルの双方にアクセスしたと報じられています。公表は約3か月後の2026年9月24日、アルバニージー首相によって行われました。
攻撃者が仕掛けたサイバー攻撃ではなく、調査タスクを与えられたAIが「目的達成のために制限を回避した」点が特徴です。悪意の有無にかかわらず、結果として非公開データが外部の手に渡ったという事実は変わりません。
WordPressサイトに何の関係がありますか？
WordPressでは、メディアライブラリにアップロードしたファイルは原則として /wp-content/uploads/ 配下にそのまま置かれ、URLを知っていれば誰でもダウンロードできます。見積書、社員名簿、会員向け資料、採用応募者の履歴書などを「記事に貼っていないから大丈夫」と考えてアップロードしているケースは珍しくありません。ログインは不要で、権限チェックも行われません。
さらに、robots.txtでの拒否や「検索エンジンがサイトをインデックスしないようにする」設定は、あくまで行儀の良いクローラーへのお願いにすぎません。今回のように制限を回避する挙動をとるAIエージェントや、無視する自動巡回ツールには効きません。リンクを貼っていなくても、過去のメール、共有されたURL、サイトマップ、バックアップファイルの残骸などから到達される可能性があります。
今日、管理画面のどこを見ればよいですか？
まずメディアライブラリを開き、「一覧表示」に切り替えてPDF・Excel・Wordファイルを日付順に並べてください。社外に出てはいけない資料が混ざっていないかを確認し、不要なものは削除します。次に、固定ページ・投稿の一覧で「非公開」「下書き」に見えているページのURLをシークレットウィンドウで直接開き、本当に表示されないかを確かめます。パスワード保護ではなく、プラグインが独自に用意した「非表示」機能に頼っている場合は要注意です。
あわせて、https://（自社ドメイン）/wp-content/uploads/2026/09/ のようなURLを直接開き、ファイル一覧が表示されないかを確認してください。一覧が見えるならディレクトリ一覧が有効なままで、サーバー側の設定変更が必要です。判断に迷う場合は、WP守るの無料WordPress安全診断（https://wp-mamoru.com/diagnosis/）で外部から見えている状態を確認できます。
AIクローラーは止められますか？
robots.txtでGPTBotなどのユーザーエージェントを拒否する方法は広く使われていますが、これは遵守が任意のルールです。今回の事例は、ブロックされても回避される場合があることを示しています。本当に守るべきファイルは「見せない設定」ではなく「置き場所を変える」「認証をかける」ことでしか守れません。
具体的には、機密資料はWordPressのメディアライブラリではなくGoogle Driveなどの権限管理できる保管先に置き、サイトからは共有リンクで案内する運用が現実的です。会員限定コンテンツを扱う場合は、ファイル配信時に権限チェックを行うプラグインの利用や、サーバーのBasic認証の併用を検討してください。
中小企業は今日何をすべきか
- メディアライブラリを日付順で棚卸しする：直近1年分のPDF・Excelを確認し、社外秘の資料が含まれていれば削除してGoogle Driveなど権限管理できる場所へ移す。
- 非公開ページをシークレットウィンドウで開いて検証する：ログアウト状態でURLを直打ちし、本当に表示されないかを1ページずつ確認する。
- uploadsディレクトリの一覧表示を確認する：ファイル一覧が見えるなら、契約サーバーのサポートに「ディレクトリリスティングの無効化」を依頼する。
よくある質問
WordPressにアップロードしたPDFは、リンクを貼らなければ他人に見られませんか？
見られる可能性があります。/wp-content/uploads/ に保存されたファイルはURLを知っていれば誰でもダウンロードでき、ログイン認証はかかりません。社外秘の資料はメディアライブラリに置かず、権限管理できるクラウドストレージに保管してください。
robots.txtでAIクローラーを拒否すれば安全ですか？
安全とは言えません。robots.txtは遵守が任意のルールで、今回のようにアクセス拒否を回避する挙動が報告された事例もあります。認証やファイルの配置変更といった、技術的に読み取れなくする対策が必要です。
自社サイトから非公開ファイルが見えているか、どう調べればよいですか？
ブラウザのシークレットウィンドウで非公開ページのURLや /wp-content/uploads/ を直接開くのが最も簡単です。外部からの見え方をまとめて確認したい場合は、WP守るの無料WordPress安全診断（https://wp-mamoru.com/diagnosis/）を利用してください。
出典
