クリニックのWordPressセキュリティ対策【医療サイト管理者のための実践ガイド】

Security / 2026

「WordPressだから大丈夫」と思っていませんか？

WordPressは世界で最も普及しているCMSですが、その普及度の高さゆえに攻撃者にとっても「最もよく研究されたターゲット」でもあります。特に医療クリニックのサイトは、Googleからの信頼性が高い「YMYL（Your Money or Your Life）」サイトとして評価されているため、攻撃者に狙われやすい状況にあります。

2026年8月、株式会社Medi Faceを含む21件の医療サイトが同一攻撃者によってハッキングされました。この実例をもとに、クリニックが今すぐ実施すべきWordPressセキュリティ対策を解説します。

医療サイトがWordPressで狙われる3つの理由

理由1：Googleの信頼スコアを悪用できる

地域に根ざしたクリニックサイトは、長年の診療実績によって積み上げてきたSEO評価があります。攻撃者はその信頼スコアを「乗っ取り」、違法コンテンツを検索上位に表示させることで金銭的利益を得ます。

理由2：更新が後回しになりやすい

診療業務が最優先のクリニックでは、WordPressのコアやプラグインの更新が数ヶ月〜数年放置されるケースが少なくありません。古いバージョンには既知の脆弱性が存在し、攻撃者はその情報を利用して自動的に侵入します。

理由3：被害に気づきにくい

攻撃者は日本からのアクセスには正常なページを表示する「ジオクローキング」技術を使います。院長やスタッフが毎日サイトを確認しても被害に気づけない設計のため、発覚が遅れがちです。

今すぐ確認すべき5項目

技術担当者がいないクリニックでも確認できる内容から始めましょう。

確認1：WordPressの管理画面のURL

デフォルトの管理画面URL（/wp-admin）はそのままにしていませんか？

攻撃者は /wp-admin に対して自動的にログイン試行を行います。セキュリティプラグインを使ってURLを変更するだけで、大半の自動攻撃を回避できます。

確認2：管理者パスワードの強度

以下のようなパスワードは即時変更してください。

  • クリニック名 + 数字（例：clinic2015）
  • 先生の名前 + 生年月日
  • password 1234 admin などの単純なもの

推奨：12文字以上、大文字・小文字・数字・記号を含むランダムな文字列

確認3：WordPressのバージョン

管理画面にログインし、「ダッシュボード」→「更新」を確認してください。

  • 本体のアップデートがある場合：すぐに更新
  • プラグインのアップデートがある場合：すぐに更新
  • 使っていないプラグイン：削除する（無効化だけでは不十分）

確認4：不審なユーザーの有無

「ユーザー」一覧を開き、見覚えのないアカウントが「管理者」として登録されていないか確認してください。

確認5：最終ログイン記録

多くのセキュリティプラグインはログイン履歴を記録します。見知らぬIPアドレスからのログインがないか確認してください。

必ず導入すべきセキュリティプラグイン3選

1. Wordfence Security（無料）

WordPressセキュリティプラグインの定番。主な機能：

  • リアルタイムのマルウェアスキャン
  • ログイン試行の制限とブルートフォース攻撃ブロック
  • 不審なファイル変更の検知・アラート

設定のポイント：「Two-Factor Authentication（2要素認証）」を管理者アカウントに必ず有効化すること。

2. All In One WP Security（無料）

初心者でも設定しやすいUIが特徴。主な機能：

  • 管理画面URLの変更
  • ファイルシステムの権限チェック
  • ログイン試行制限

3. UpdraftPlus（無料/有料）

バックアップは「防御」ではなく「保険」ですが、ハッキング発生時の復旧に必須です。

  • 毎日の自動バックアップを設定
  • バックアップ先はサーバー外（Google Drive・Dropboxなど）に保存
  • 最低でも1週間分のバックアップを保持する

.htaccessとwp-config.phpの保護

WordPress管理者向けの設定項目です。担当エンジニアに依頼して実施してください。

wp-config.phpへのアクセスを遮断する

.htaccessファイルに以下を追記します。

<files wp-config.php>
order allow,deny
deny from all
</files>

xmlrpc.phpを無効化する

WordPressの古いAPIエンドポイントで、ブルートフォース攻撃に悪用されることがあります。

<files xmlrpc.php>
order deny,allow
deny from all
</files>

wp-includes/ディレクトリへの直接PHPアクセスを遮断する

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

ホスティング会社に確認すべきこと

セキュリティはWordPress単体の問題ではありません。サーバー環境についても確認しましょう。

確認項目推奨設定
PHPバージョン8.1以上（8.0以下はサポート終了）
ファイル権限wp-config.php は 600 または 640
SSHアクセスログ保管・確認できる状態にある
WAF（Web Application Firewall）導入していること
マルウェアスキャン定期実行されていること

ホスティング会社のサポートに「セキュリティ診断をお願いしたい」と問い合わせるだけで、多くの場合は無料で確認してもらえます。

ハッキングされた場合の復旧手順

実際に被害を受けた場合の対応手順です。

フェーズ1：初動（発見から24時間以内）

  1. スクリーンショットで証拠を保存する（削除前に必ず実施）
  2. ホスティング会社に連絡する（アカウントの一時停止などを依頼）
  3. 全管理者アカウントのパスワードを変更する
  4. GSCの「ユーザーと権限」で不審なアカウントを削除する

フェーズ2：クリーンアップ（専門家と実施）

  1. PHPバックドアファイルの検出・削除
  2. データベース内の不正コードの除去
  3. WordPressの再インストールまたはクリーンなバックアップからの復元
  4. 全パスワードとAPIキーの再生成

フェーズ3：再発防止

  1. 侵入経路の特定と塞ぎこみ
  2. セキュリティプラグインの導入と設定強化
  3. 定期バックアップの設定確認
  4. JPCERT/CCへの報告（任意だが推奨）

実例：Medi Faceが受けた攻撃の侵入経路

2026年8月の攻撃では、以下の経路で侵入が確認されました。

  1. 古いプラグインの脆弱性を突き、PHPウェブシェル（fgh.php）をサーバーに設置
  2. ウェブシェル経由でWordPressのデータベースに直接アクセス
  3. 全21サイトのページに賭博コードを注入（130ページ以上）
  4. GoogleサーチコンソールのHTML確認トークンを埋め込み、不正登録

この攻撃は4ヶ月以上前から計画された標的型攻撃でした。攻撃用ドメインは2026年4月4日（攻撃の120日前）に登録されています。

技術詳細：MF-2026-0812 技術解析レポート（GitHub）

専門家への相談タイミング

以下のいずれかに該当する場合は、自己解決しようとせず専門家に相談してください。

  • Googleで site:自院ドメイン を検索したら不審な結果が出た
  • GSCに見覚えのないユーザーが登録されていた
  • サーバー上に見慣れないPHPファイルが存在した
  • WordPressの管理画面にログインできなくなった
  • 急激なアクセス増加・減少があった

医療機関の場合、患者データへの影響が懸念される場合は個人情報保護委員会への報告義務が生じることもあります。被害の規模を過小評価せず、専門家と連携して対応してください。

まとめ

WordPressのセキュリティ対策は「一度やれば終わり」ではありません。更新・確認・バックアップを継続的に実施することが、クリニックのWebサイトと患者の信頼を守ることに直結します。

まず今日、管理画面にログインしてWordPressのバージョンとプラグインの更新状況を確認してみてください。それだけで大半の自動攻撃に対する耐性が上がります。

当社では、同様の被害に遭われた医療機関・クリニックからの情報提供・ご相談をお待ちしています。

株式会社Medi Face お問い合わせ：info@medi-face.co.jp

参考資料

関連記事