WordPressの改ざん・乗っ取りを防ぐ｜今日やるべき対策チェックリスト
WordPressは世界中のサイトで使われているがゆえに、攻撃者にとって最も効率の良い標的です。しかも攻撃の大半は人間ではなく自動化されたプログラムによる無差別スキャンで、「うちは小さい会社だから狙われない」は通用しません。本記事では、実際の侵入経路と、今日から着手できる優先度順のチェックリスト、改ざんされてしまった場合の初動を解説します。
侵入経路の実態｜狙われるのはこの3つ
- 古いプラグイン・テーマ・本体の脆弱性 — 最も多い侵入経路です。脆弱性が公表されると、その情報をもとに未更新のサイトを探すスキャンが一斉に始まります。「何年も更新していないプラグイン」は、鍵のかかっていない裏口と同じです
- ログイン画面への総当たり攻撃 — wp-login.php は場所が世界共通なので、機械的にID・パスワードの組み合わせを試す攻撃が常時飛んできます。ユーザー名が「admin」でパスワードが単純なら、突破は時間の問題です
- 使い回されたパスワードの流出 — 他のサービスから漏れたメールアドレスとパスワードの組み合わせを試す攻撃です。パスワード自体が複雑でも、使い回していれば意味がありません
逆に言えば、この3経路を塞ぐだけで攻撃の大半は防げます。
優先度順・対策チェックリスト
| 優先度 | 対策 | 目安時間 |
|---|---|---|
| 高 | 本体・プラグイン・テーマをすべて最新版に更新（使っていないものは更新ではなく削除） | 30分〜 |
| 高 | 全ユーザーのパスワードを長く複雑なものに変更、使い回しを排除。「admin」ユーザーは廃止 | 30分 |
| 高 | バックアップの取得を自動化し、復元できるかを一度試す（サーバー外にも保管） | 1時間 |
| 中 | ログイン画面の保護 — 二段階認証の導入、ログイン試行回数の制限、可能ならログインURLの変更やIP制限 | 1時間 |
| 中 | 不要ユーザー・退職者アカウントの削除、権限の最小化（更新担当者にeditor以上を安易に配らない） | 30分 |
| 中 | セキュリティプラグインの導入（改ざん検知・ログイン保護・スキャン） | 1時間 |
| 低 | PHPバージョンをサポート中のものへ更新、ファイル編集機能（テーマエディタ）の無効化 | 1時間〜 |
ポイントはバックアップを「対策」に含めていることです。どれだけ防いでも侵入の可能性はゼロになりません。復元できるバックアップの有無が、被害を「数時間の復旧作業」で済ませられるか「作り直し」になるかの分かれ目です。なお、バックアップは取得しているつもりでも復元手順を試したことがない、というケースが非常に多いため、必ず一度リハーサルをしてください。
「更新するとサイトが壊れそうで怖い」への答え
更新をためらう理由の多くは「プラグイン更新で表示が崩れた経験」です。正しい対処は更新をやめることではなく、バックアップを取ってから更新し、壊れたら戻すという手順を持つことです。検証環境（ステージング）を用意できるなら、そこで更新を試してから本番に反映するのが理想です。更新の放置は、目先の表示崩れよりはるかに大きいリスクを積み上げます。
改ざんされてしまった場合の初動
- サイトを一時的に閉じる — 改ざんされたサイトは訪問者にマルウェアを配布したり、詐欺サイトへ転送したりする加害側になります。メンテナンス表示などで公開を止めるのが最優先です
- すべてのパスワードを変更する — WordPress管理画面・FTP/SSH・データベース・サーバーコントロールパネルまで全部です。侵入経路が特定できていない段階では、どれが漏れているか分かりません
- 感染範囲を確認し、クリーンな状態に戻す — 改ざん前のバックアップからの復元が最も確実です。「見つけた不審ファイルだけ消す」対応は、埋め込まれたバックドアを残しやすく、再発の典型パターンです
- 侵入経路を塞いでから再公開する — 原因（古いプラグイン等）を放置したまま復元すると、数日で再改ざんされます。復元と原因対処はセットです
サーバー側でできる防御も併用する
WordPress本体の設定と並行して、サーバー側の機能も確認しておくと防御が厚くなります。
- WAF（Webアプリケーションファイアウォール） — 攻撃的なリクエストをWordPressに届く前に遮断する仕組みです。主要なレンタルサーバーの多くは管理画面から有効化でき、追加費用なしで使えることが多いので、まず設定を確認してください。稀にフォーム送信などが誤検知されるため、有効化後は主要な導線の動作確認をします
- 海外IPからの管理画面アクセス制限 — 攻撃の多くは国外からの機械的アクセスです。運用上支障がなければ、ログイン画面への国外アクセス制限は費用ゼロで効果の大きい対策です
- アクセスログの保全 — 侵入された際、いつ・どこから・何をされたかを追う唯一の手がかりがログです。サーバーのログ保存期間を確認し、短すぎる場合は延長を検討します
保守を外注すべきかの判断基準
次のいずれかに当てはまるなら、月額の保守として外部に任せることを検討する段階です。
- 更新・バックアップを「担当者が気づいたとき」にしかやっておらず、数か月放置されることがある
- 更新して不具合が出たときに、原因を調査して直せる人が社内にいない
- サイトが事業に直結しており、改ざん時の停止や信用毀損が許容できない
外注する場合は「更新作業だけ」なのか「改ざん検知・障害時の復旧対応まで」含むのかで内容が大きく異なります。契約前に、障害時の対応範囲と初動までの時間を必ず確認してください。
まとめ｜対策の8割は「更新・パスワード・バックアップ」
WordPressのセキュリティは特別な技術の話ではなく、更新・パスワード・バックアップという基本の徹底が8割を占めます。まずは上のチェックリストの「高」の3項目から今日着手してください。シャノンではWordPressの保守・運用サービスとして、定期更新やバックアップに加え、監視サービスによる改ざん・障害の検知、発生時の復旧対応までを請け負っています。「基本はやっているつもりだが穴がないか不安」という場合は、現状の設定を確認するセキュリティ診断からのご相談も可能です。