最終更新：10 月 24 日 02:09（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ アカウントを持っている人 ／ UpdraftCentral を使っている人 ／ サイトの確かめ方 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
プラグインの会社のサイトに入られ、利用者のサイトを操作する「接続キー」を悪用された事故（10 月 23 日の追記まで）
- WordPress のバックアップのプラグイン「UpdraftPlus」を作る TeamUpdraft のサイトに、10 月 17〜18 日の週末、外から入り込まれた（不正アクセス）
- 顧客の情報と、利用者のサイトを外から操作するための「接続キー」が見られたとみられる。そのキーで、利用者のサイトに管理者を作られたり、悪いプラグインを入れられたりした
- 10 月 19 日の新しい版（無料版 1.26.13・Premium 2.26.13）で、古い接続は自動で切れる。最新版になっているかと、見覚えのないユーザーやプラグインがないかを確かめる
どうすればいい？
よくある疑問と答え
-
自分のサイトは対象？
UpdraftCentral（クラウド版）でサイトをつないでいる人と、Premium を使っている人は、点検が必要です。teamupdraft.com のアカウントを持たない無料版の利用者は、とくにすることはないとされています。
→ UpdraftCentral を使っている人の手順 -
何が漏れた？
名前・メールアドレス・請求先の住所・注文の履歴、ハッシュ化したパスワード、接続キーなどです。カードの情報は保存していなかったとしています。
→ 見られたとみられる情報の一覧 -
サイトに何をされた？
管理者のアカウントを作られたり、悪いプラグインを入れられたりした例があります。見覚えのない「編集者」のユーザーが作られる例が多いとしています。どこまで及んだかは分かっていません。
→ サイトの確かめ方 - 更新すれば大丈夫？ 最新版にすると、古い接続は自動で切れます。そのうえで、見覚えのないユーザーやプラグインがないかも確かめるよう TeamUpdraft は呼びかけています。
-
パスワードは変えたほうがいい？
teamupdraft.com のアカウントを持つ人は、変えるよう案内されています。同じパスワードをほかでも使っていれば、そちらも変えます。
→ アカウントを持つ人がやること - 制作会社にサイトを任せている場合は？ UpdraftPlus を使っているか、点検を済ませたかを、任せている会社に聞いてください（この記事での整理）。
詳しくは：UpdraftCentral を使っている人 ／ アカウント・Vault・Clone の利用者 ／ サイトの確かめ方
この記事では、UpdraftPlus の運営元への不正アクセスについて、TeamUpdraft の公式のお知らせ（英語。10 月 19 日の掲載と、その後の追記）だけをもとに、何が起きたのかと、UpdraftPlus を入れている WordPress のサイトの持ち主が使い方ごとにやることを整理します。原文は英語のため、この記事の文は日本語に直したものです。
何が起きたか
10 月 23 日の追記までに分かっていることです。UpdraftPlus は、WordPress のサイトのバックアップ・復元・引っ越しに使うプラグインで、英国の TeamUpdraft が作っています。TeamUpdraft は、ほかに次のサービスも出しています。
- UpdraftCentral：たくさんのサイトをまとめて管理する
- UpdraftVault：バックアップの保存先
- UpdraftClone：サイトの複製を作る
入り込まれたのは、プラグインそのものではなく、TeamUpdraft の会社のサイト（teamupdraft.com）です。TeamUpdraft によると、10 月 17〜18 日の週末に不正なアクセスを見つけ、すぐに入り口を閉じました。すべてのアカウントをログアウトさせ、影響を受けた可能性のあるキーや認証情報も入れ替えています。攻撃者は、不正に手に入れたキーで teamupdraft.com に入ったと分かっているとしています。
| 区分 | 内容 |
|---|---|
| 顧客のデータベース | 名前、メールアドレス、請求先の住所、注文の履歴。アカウントのパスワード（ハッシュ化した形だけで、そのままの形では保存していない）。2 段階認証の設定。UpdraftCentral・UpdraftVault・UpdraftClone の接続キー |
| 利用者のサイト | 攻撃者は、利用者のサイトへの接続を悪用して、管理者のアカウントを作ったり、悪いプラグインを入れたりした。どこまで及んだかは分かっていない。10 月 22 日の追記では、見覚えのない「編集者」の権限のユーザーが作られる例が多いとしている |
| 影響を受けていないもの | カードの情報（保存していない。支払いは Stripe と PayPal が処理）。UpdraftPlus のプラグインそのものとダウンロード。Google Drive・Dropbox・Amazon S3 など自分で用意した保存先のバックアップ。自分のサーバーに置く版の UpdraftCentral |
TeamUpdraft は 10 月 19 日に、UpdraftPlus 1.26.13（無料版）と 2.26.13（Premium）を出しました。この版にすると、古い UpdraftCentral の接続が自動で切れ、古いキーが使えなくなります。WordPress.org からすべての利用者に配られているので、手で更新する必要はありません。ただ、最新版になっているかは確かめるよう呼びかけています。外部のセキュリティ会社と調べていて、英国の個人情報の監督機関（ICO）や警察にも報告しています。
アカウント・Vault・Clone の利用者がやること
teamupdraft.com のアカウントを持たない無料版の利用者は、とくにすることはないと TeamUpdraft は案内しています。UpdraftPlus を最新の版にしておけば十分です。アカウントを持っている人と、Vault・Clone を使っている人は、次のことをします。
- teamupdraft.com のアカウントを持つ人 teamupdraft.com のパスワードを変える。そのときはメールのリンクをたどらず、ブラウザに teamupdraft.com と打ち込んで開く。同じパスワードをほかでも使っていれば変える。2 段階認証を使っているなら「My Account」でやり直す。TeamUpdraft を名乗る思いがけないメールに気をつける（パスワードやキーを尋ねることはないとしている）。Premium の利用者は、UpdraftCentral を使っていなくても、サイトに見覚えのないプラグインや管理者が増えていないかを確かめる。
- UpdraftVault の利用者 すべてのサイトが UpdraftVault から切り離されていて、つなぎ直すまでバックアップは Vault に届かない。サイトごとに UpdraftPlus の設定の保存先で UpdraftVault を選び、teamupdraft.com のメールアドレスと新しいパスワードでつなぎ直す。変更を保存して、手動でバックアップを取り、動くかを確かめる。
- UpdraftClone の利用者 クライアントキーはすべて入れ替えられ、古いキーは使えない。キーを作ったことがなければ、することはない。自分の顧客にキーを渡しているなら、「My Account」から新しいキーを写して渡し直す。
UpdraftCentral（クラウド版）を使っている人がやること
ここからは、サイトの管理をしている担当者・制作会社向けです。UpdraftCentral の接続キーがあれば、つながっているサイトに命令を送れます。そのため TeamUpdraft は、今日のうちにサイトごとに次のことをするよう求めています。ふだん触らないサイトも含めて、すべてのサイトで行います。
- UpdraftCentral を通さず、そのサイトの WordPress の管理画面に直接ログインする
- UpdraftPlus を 1.26.13（無料版）または 2.26.13（Premium）以降に更新する
- 「設定」→「UpdraftPlus」→「高度なツール」→「UpdraftCentral」で、接続キーを消して UpdraftCentral から切り離す
- 「ユーザー」で見覚えのない管理者のアカウントを探し、あれば消す
- 「プラグイン」（見えるなら「使用必須」のタブ＝Must-Use も）で見覚えのないものを探し、あれば消す
- サイトのすべての管理者のパスワードを変える
- 怪しいものが見つかったら、10 月 17 日より前に取ったバックアップから戻すことを考える
- UpdraftCentral につなぎ直す
UpdraftCentral を通してサイトに入られていた場合は、念のため、バックアップの保存先（Google Drive など）の連携をやり直し、保存先のアクセスキーも変えるよう案内しています。
サイトの確かめ方
TeamUpdraft が挙げている、侵入の跡の見つけ方です。UpdraftPlus Premium の利用者は、UpdraftCentral を使ったことがなくても確かめるよう呼びかけています。
- 見覚えのない、思いがけないユーザーがいないか（「編集者」の権限のユーザーが作られる例が多いとしている）
- 見覚えのないプラグインがないか
- ログに見覚えのない IP アドレスがないか
- teamupdraft.com の「My Account」から UpdraftCentral を開き、10 月 19 日以降に自分でつないだ覚えのないサイトがないか。あれば、そのサイトに侵入の跡がないかを確かめる
自分で判断がつかないときは、TeamUpdraft のサポートに問い合わせるよう案内しています。制作会社や保守の会社にサイトを任せているなら、UpdraftPlus を使っているか、上の点検を済ませたかを問い合わせてください（この記事での整理）。
技術的な詳細（システム担当者向け）
TeamUpdraft のお知らせから読み取れる、攻撃の流れと修正版の動きを、原文の内容に沿って並べます。
| 観点 | お知らせの内容 |
|---|---|
| 侵入の経路 | 攻撃者は不正に入手したキーで teamupdraft.com にアクセスした |
| 狙われたもの | 顧客のデータベースにあった UpdraftCentral・UpdraftVault・UpdraftClone の接続キー。UpdraftCentral の接続キーは、接続先のサイトに命令を送る権限を持つ |
| 利用者のサイトでの動き | UpdraftCentral の接続を経由して、管理者（多くは「編集者」の権限）のユーザーの作成と、悪意のあるプラグインのインストール。Must-Use プラグインも確かめる対象とされている |
| 修正版 | UpdraftPlus 1.26.13（無料版）・2.26.13（Premium）。10 月 18 日 13 時 07 分（英国夏時間）より前に作られた UpdraftCentral の接続をすべて無効にする。WordPress.org から配布済み |
| 運営元での対処 | 入り口を閉じ、全アカウントをログアウト。影響を受けた可能性のあるキー・認証情報を入れ替え。UpdraftVault の接続はすべて切り離し、UpdraftClone のクライアントキーはすべて入れ替え |
| 侵入の跡（確かめる点） | 見覚えのないユーザー・プラグイン、ログの見覚えのない IP アドレス、10 月 19 日以降に UpdraftCentral に追加された覚えのないサイト |
| 影響を受けていないもの | プラグインのコードとダウンロード、自分で用意した保存先（Google Drive・Dropbox・Amazon S3 など）、自分のサーバーに置く版の UpdraftCentral |
| お知らせに無いこと | 侵入の方法と、利用者のサイトへの被害がどこまで及んだか（どちらも分かっていないとしている） |
この記事での整理です。今回は、プラグインの脆弱性ではなく、運営元が預かっていた「サイトに命令を送れるキー」から入られました。プラグインを最新にしているだけでは防げない形です。外部のサービスに渡しているキーやトークンの一覧と、それを無効にする手順を持っておくことが備えになります。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 22 日 | 追記。問い合わせフォームを再開。UpdraftCentral に見覚えのないサイトがつながっていないかを見て、あれば侵入の跡がないかを確かめるよう呼びかけた |
| 10 月 21 日 | 追記。分かっている事実をまとめ、UpdraftCentral を使ったことがない Premium の利用者にも、サイトの点検を呼びかけた |
| 10 月 20 日 | 追記。不正なアクセスは解消済みで、19 日に出した版で UpdraftCentral の接続キーを無効にし、その経路からのアクセスを止めたと説明 |
| 10 月 19 日 | お知らせを掲載。UpdraftPlus 1.26.13 と 2.26.13 を公開 |
| 10 月 17〜18 日 | teamupdraft.com への不正なアクセスを見つけ、入り口を閉じ、すべてのアカウントをログアウトさせ、キーと認証情報を入れ替えた |
自社で見直すこと
ここからは、TeamUpdraft のお知らせから読み取れることを、WordPress でホームページを持つ中小企業向けにまとめたものです（この記事での整理）。
- サイトの外からつながる仕組みを一覧にする まとめて管理するツール、バックアップの保存先、外部のサービスとの連携など、サイトの外からサイトを操作できる仕組みを書き出す。使っていない連携は切る。
- 管理者と権限を定期的に見る ユーザーの一覧に、知らない管理者や編集者が増えていないかを月に一度は見る。管理者は必要な人だけにする。
- バックアップをサイトの外に、日付ごとに残す 「この日より前のバックアップから戻す」ことができるよう、いくつかの日付のバックアップを、サイトとは別の場所に残しておく。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、バックアップの考え方は 「WordPress のバックアップ」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、プラグインの更新や事故の情報を追い、ユーザーとバックアップの点検を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
