WordPressのログインページを攻撃から守る方法
「サイトの管理画面に、いつの間にか覚えのないユーザーが追加されていた」「ログインしようとしたら、何度もパスワードを間違えた覚えがないのにロックがかかっていた」——自社のWordPressサイトを運用していて、こんな経験はありませんか？
世界中のウェブサイトの4割以上が使っていると言われるWordPressは、便利な反面、攻撃者にとっても「狙いやすい共通の入り口」を持っています。その代表が、誰でもアクセスできてしまうログインページです。今回は、専門知識がなくても今日から実践できる「ログインページの守り方」を、中小企業のサイト担当者向けにかみくだいて解説します。
なぜWordPressのログインページが狙われるのか
WordPressには、初期設定のままだと共通の「弱点」がいくつかあります。
- ログインページのURLが誰でも分かる：標準では
あなたのサイト/wp-login.phpやあなたのサイト/wp-adminでログイン画面が開きます。世界中のWordPressサイトで共通なので、攻撃者は手当たり次第に試せます。 - 「admin」というユーザー名が残っていることが多い：昔ながらの管理者名がそのままだと、相手はパスワードだけ当てればよくなります。
- 自動化されたプログラムが24時間攻撃してくる：人間が手で打っているわけではなく、ボットが何千通りものパスワードを機械的に試します。これを「ブルートフォース攻撃（総当たり攻撃）」と呼びます。
つまり、特別に恨まれていなくても、WordPressというだけで「自動的に」攻撃対象に入ってしまうのです。実際、立ち上げたばかりのサイトでも、数日でログイン試行のログがびっしり、ということは珍しくありません。
まず今日やるべき5つの基本対策
難しい設定の前に、効果が大きくて手間の少ないものから手をつけましょう。
1. 「admin」ユーザーをやめる
ユーザー名が「admin」のままなら、別名の管理者を新規作成してから、元のadminを削除します。攻撃者に「ユーザー名」という半分の答えを渡さないだけで、突破はぐっと難しくなります。
2. 長くて複雑なパスワードにする
「会社名＋123」のような推測されやすいものは厳禁です。英大文字・小文字・数字・記号を混ぜた12文字以上を目安に。覚えられないならパスワード管理アプリに任せ、使い回しは絶対に避けましょう。
3. 二段階認証（2FA）を入れる
パスワードが万一漏れても、スマホアプリの確認コードがなければログインできない仕組みです。「WP 2FA」などの認証プラグインで導入できます。法人サイトなら必須と考えてください。
4. ログイン試行回数を制限する
「パスワードを5回間違えたら一定時間ロック」という設定を入れると、総当たり攻撃そのものが成立しにくくなります。専用プラグインで簡単に有効化できます。
5. 本体・テーマ・プラグインを最新に保つ
ログイン以外の穴をふさぐ意味でも、更新の放置は禁物です。古いプラグインは攻撃の入り口になりがちです。
もう一歩進んだ守り方
基本ができたら、次の対策で「そもそも攻撃者にログイン画面を見せない」工夫を加えます。
- ログインURLを変更する：標準の
wp-login.phpを、自社だけが知る別のアドレスに変えるプラグインがあります。攻撃ボットが入り口を見つけられなくなり、無駄なアクセスを大幅に減らせます。 - 管理画面へのIP制限：オフィスなど決まった場所からしか管理画面に入らないなら、その回線（IPアドレス）以外をブロックする方法も有効です。設定はサーバー会社やサイト制作会社に相談するのが安全です。
- WAF（ウェブアプリケーションファイアウォール）を使う：多くのレンタルサーバーが無料で提供しています。管理画面の設定でオンにするだけで、不審なアクセスを自動でふるい落としてくれます。
- 管理者へのログイン通知：新しい端末からログインがあった際にメールで知らせる設定にしておくと、不正アクセスにいち早く気づけます。
「もう侵入されたかも」と思ったときの対処法
ログを見て不審なアクセスが続いている、見覚えのないユーザーや投稿がある——そんなときは、慌てず次の順で動きましょう。
1. すべての管理者パスワードを今すぐ変更する：自分のものだけでなく、過去に発行した全アカウント分を。 2. 見覚えのないユーザーを削除する：特に管理者・編集者権限のものは最優先で確認します。 3. インストール済みプラグイン・テーマを点検する：心当たりのないものは無効化・削除します。 4. バックアップから復元できるか確認する：改ざんされた場合に備え、普段から定期バックアップを取っておくことが何よりの保険です。 5. サーバー会社・制作会社に連絡する：被害範囲の調査は、専門家に任せたほうが確実で早いです。
なお、「WordPressの更新通知」や「不正ログインを検知しました」といったメールが届いた場合、それ自体がフィッシング詐欺の入り口になっていることもあります。リンクは踏まず、必ずブックマークや手入力で正規の管理画面アドレスを開いて確認してください。
自社サイトの守りに不安があれば、まずはご相談を
WordPressのセキュリティは、「一度設定すれば終わり」ではなく、運用しながら見直し続けるものです。とはいえ、本業のかたわらで管理画面の設定やログの確認まで手が回らない、という中小企業の担当者の方がほとんどだと思います。
BULLCOM SecurityのLINE無料相談では、「うちのWordPress、何から手をつければいい？」といった漠然としたご質問も歓迎です。管理画面のスクリーンショットや届いた不審なメールを送っていただければ、危険な状態かどうか、優先して直すべきポイントはどこかを具体的にお伝えします。攻撃を受けてからではなく、被害が出る前のひと手間が、会社の信用を守ります。お気軽にLINEからご連絡ください。