WordPressでWebサイトやブログを運営している方は、管理画面のセキュリティ対策を定期的に確認していますか？
WordPressは便利なCMSですが、管理者アカウントの乗っ取りや脆弱性の悪用などによって、不正アクセスの被害を受ける可能性があります。
例えば、身に覚えのない管理者アカウントが追加されていたり、知らないプラグインがインストールされていたりする場合は、注意が必要です。
もちろん、見慣れないアカウントやプラグインがあるからといって、必ずしも不正アクセスが発生しているとは限りません。しかし、普段と異なる変化を見つけた場合は、放置せずに確認することが大切です。
そこで今回は、WordPressを安全に運用するために確認しておきたい3つのポイントと、不審な点を見つけた場合の対応方法、日頃から実施しておきたいセキュリティ対策について解説します。
1. WordPressのユーザー一覧で不審なアカウントがないか確認する
最初に確認したいのが、WordPressに登録されているユーザーです。
WordPressでは、ユーザーごとに権限が設定されています。特に管理者権限を持つユーザーは、サイトの設定変更やユーザー管理など、幅広い操作を行えます。
そのため、第三者に管理者アカウントを追加されると、サイトの設定を変更されたり、不正なユーザーをさらに登録されたりするおそれがあります。
ユーザー一覧の確認方法
WordPressの管理画面にログインし、次の手順で確認してください。
- 管理画面の「ユーザー」をクリックする
- 「ユーザー一覧」を開く
- 登録されているユーザー名と権限を確認する
- 身に覚えのないアカウントや、不自然な権限設定がないか調べる
特に注意したいのは、身に覚えのない管理者アカウントです。
編集者などのアカウントについても、実際の利用者や付与された権限が適切か確認しましょう。
なお、WordPressの標準設定では、管理者と編集者で操作できる範囲が異なります。編集者は主に記事の作成・編集・公開などを行う権限であり、通常はプラグインのインストールやサイト全体の設定変更はできません。ただし、独自の権限設定を導入しているサイトでは異なる場合があります。
不審なアカウントを見分けるポイント
次のようなアカウントがないか確認してください。
- 自分で作成した覚えのないユーザー
- 誰が使用しているのか分からない管理者アカウント
- 制作会社や保守担当者に確認しても、登録経緯が分からないアカウント
- すでに退職した担当者や契約終了した外部業者のアカウント
- サイトの運用上、必要性が確認できない高い権限を持つユーザー
ただし、見慣れないユーザー名だけで不正なアカウントと断定することはできません。制作会社や保守担当者が管理用に作成したアカウントの可能性もあります。
まずは、サイトの管理に関わる人へ確認し、登録経緯を把握しましょう。
不審なアカウントを見つけた場合の対応
身に覚えのない管理者アカウントが見つかった場合は、放置せず、早急に調査してください。
不正なアカウントである可能性が高い場合は、発見日時やユーザー情報、関連する通知などを記録し、必要に応じて利用停止や削除などの措置を検討します。
ただし、不正アクセスが疑われる場合、アカウントを削除するだけでは十分ではありません。攻撃者が別のアカウントを作成していたり、サイト内に不正なファイルを設置していたりする可能性もあります。
そのため、アクセスログやユーザーの変更履歴などを確認し、侵入経路や被害の範囲を調べることが重要です。
2. プラグイン一覧で身に覚えのないプラグインがないか確認する
次に確認したいのが、WordPressにインストールされているプラグインです。
プラグインは、問い合わせフォームやSEO対策、バックアップなど、WordPressの機能を拡張するために利用します。
一方で、脆弱性のあるプラグインを使い続けたり、不正なプラグインを設置されたりすると、サイトの改ざんや情報漏えいなどにつながる可能性があります。
インストール済みプラグインの確認方法
管理画面から、次の手順で確認してください。
- 「プラグイン」をクリックする
- 「インストール済みプラグイン」を開く
- 表示されているプラグイン名と有効・無効の状態を確認する
- 導入した覚えのないプラグインや、用途が分からないものがないか調べる
現在有効になっているプラグインだけでなく、無効化されているプラグインも確認しておきましょう。
使用していないプラグインであっても、インストールされたままになっている場合があります。不要なものは、サイトへの影響を確認したうえで整理することが大切です。
不審なプラグインを見分けるポイント
次のようなプラグインには注意してください。
- 自分や管理担当者がインストールした覚えがない
- 何の機能を提供するものなのか分からない
- 提供元や配布元を確認できない
- 脆弱性への対応状況が不明
- サイトの運用上、必要性を確認できない
ただし、名前を知らないことや更新日時が古いことだけで、不正なプラグインと判断することはできません。
制作会社や保守担当者が導入した可能性もあるため、まずは導入経緯や公式の配布元を確認しましょう。
また、通常の「インストール済みプラグイン」一覧だけでは、WordPressの必須プラグインとして配置されたものなど、すべてのプラグイン関連ファイルを確認できるわけではありません。
不正アクセスの疑いが強い場合は、サーバー上のファイルやアクセスログなども調査対象になります。
不審なプラグインを見つけた場合の対応
不審なプラグインが見つかった場合、すぐに削除すれば解決するとは限りません。
正規のプラグインを誤って削除すると、問い合わせフォームなどの機能が動作しなくなる可能性があります。また、不正なプログラムが別の場所に設置されていれば、プラグインを削除しただけでは問題が解決しません。
不正アクセスが疑われる場合は、次の手順で対応しましょう。
- プラグイン名や有効・無効の状態、発見日時などを記録する
- 公式の配布元や管理担当者に確認し、導入経緯を調べる
- 必要に応じてサーバーのアクセスログやファイルの変更状況を確認する
- 不正なプラグインと判断できた場合は、安全を確保したうえで無効化・除去する
- 必要に応じてサーバー会社やセキュリティの専門家に相談する
侵害が疑われる状況では、証拠の保全や被害拡大の防止を優先してください。調査前にログやファイルを削除すると、原因の特定が難しくなる場合があります。
3. WordPressの管理者パスワードを強固なものに変更する
3つ目は、管理者アカウントのパスワードです。
パスワードが短かったり、推測されやすかったりすると、不正ログインの原因になりかねません。
また、複数のWebサービスで同じパスワードを使い回している場合、別のサービスから漏えいした認証情報を悪用されるリスクもあります。
安全なパスワードを設定するポイント
管理者パスワードを設定するときは、次の点を意識してください。
- 十分な長さを確保する
- 他のサービスでは使用していないパスワードを使う
- 名前や誕生日など、推測されやすい情報を避ける
- パスワード管理ツールなどを活用して安全に保管する
- メールやチャットなどで不用意に共有しない
大切なのは、単に複雑な文字列にすることではなく、十分な長さを確保し、他のサービスと使い回さないことです。
安全なパスワードを自分で考えて管理するのが難しい場合は、信頼できるパスワード管理ツールを利用する方法もあります。
WordPressのパスワードを変更する方法
管理画面にログインできる場合は、次の手順でパスワードを変更できます。
- 管理画面の「ユーザー」から「ユーザー一覧」を開く
- パスワードを変更するユーザーのプロフィールを開く
- パスワード設定の項目を確認する
- 新しいパスワードを設定し、変更内容を保存する
画面の表示や操作手順は、WordPressのバージョンなどによって異なる場合があります。
なお、不正アクセスが疑われる場合は、WordPressのパスワード変更だけで終わらせないでください。
レンタルサーバーの管理画面、FTPやSSHなどの接続情報、関連サービスの認証情報なども、漏えいや不正利用の可能性を確認する必要があります。
パスワードを変更しても解決しないケースがある
パスワードを変更すれば、すべての不正アクセスを防げるわけではありません。
すでに攻撃者が別の管理者アカウントを追加していたり、サイト内に不正なファイルを設置していたりする場合、パスワードを変更しても被害が続く可能性があります。
不審なログインや設定変更が確認された場合は、他の管理者アカウントやサーバー側の認証情報も調査しましょう。
また、利用している環境で可能であれば、二要素認証を導入することも有効です。パスワードに加えて追加の認証を求めることで、パスワードが漏えいした場合の不正ログインのリスクを低減できます。
4. WordPress本体・テーマ・プラグインを最新の状態に保つ
ユーザー一覧、プラグイン一覧、パスワードの確認に加えて、WordPress本体やテーマ、プラグインの更新状況も定期的に確認しましょう。
ソフトウェアに脆弱性が見つかった場合、開発元から修正プログラムが公開されることがあります。更新を長期間放置すると、既知の脆弱性を悪用されるリスクが高まります。
更新前にはバックアップを取得する
WordPress本体やプラグインなどを更新する前には、バックアップを取得しておくことをおすすめします。
バックアップは、万が一の不具合やデータの破損が発生した際に、復旧するための重要な手段です。
バックアップを取得する際は、次の点を確認してください。
- WordPressのファイルが保存されているか
- データベースが保存されているか
- バックアップの保存先が適切か
- 必要なときに復元できるか
ファイルだけ、あるいはデータベースだけでは、サイト全体を正常に復元できない場合があります。両方を含むバックアップを確保し、復元手順も確認しておきましょう。
ただし、不正アクセスが発生した後のバックアップには、不正なファイルや設定が含まれている可能性があります。復旧する際は、侵害前の安全なバックアップを選び、侵入経路を修正したうえで復元することが重要です。
5. 不正アクセスが疑われる場合に確認したい兆候
WordPressの管理画面に不審な点が見つかった場合は、サイト全体に異常がないかも確認してください。
例えば、次のような変化には注意が必要です。
- トップページや記事の内容が勝手に変更されている
- 見覚えのないWebサイトへ転送される
- 管理者のメールアドレスや設定が変更されている
- 身に覚えのないログイン通知が届いている
- サーバー上に不審なファイルが追加されている
- 検索結果に見覚えのないページが表示されている
これらは不正アクセスやサイト改ざんを疑うきっかけになります。ただし、単独の兆候だけで侵害を断定することはできません。
原因を特定するためには、WordPressの管理画面だけでなく、サーバーのログやファイルの変更状況なども確認する必要があります。
異常を見つけたときの基本的な対応
不正アクセスが疑われる場合は、まず発見日時や画面の状態、通知メールなどを記録してください。
そのうえで、次のような対応を検討しましょう。
1. 被害の状況を確認する
不審なユーザー、プラグイン、設定変更、ファイルなどを確認します。調査に必要なログや情報を、可能な範囲で保全してください。
2. 被害の拡大を防ぐ
侵害が継続している場合は、サーバー会社や専門家に相談し、状況に応じてサイトの隔離などを検討します。対応方法は被害の範囲やサーバー環境によって異なります。
3. 認証情報を見直す
安全な端末から、WordPressやサーバーなどの認証情報を変更します。攻撃者が追加したアカウントや、不正なアクセス手段が残っていないかも調べましょう。
4. 侵入経路を特定して修正する
脆弱性のあるソフトウェアや漏えいした認証情報など、侵入の原因を特定し、再び侵入されないように対策します。
5. 安全性を確認して復旧する
必要に応じて、安全なバックアップから復元します。復旧後も、ファイルの整合性や更新状況、ユーザー権限などを確認してください。
被害が疑われる場合、単に不審なプラグインを削除したり、パスワードを変更したりするだけでは、問題が解決しない可能性があります。原因を特定し、再侵入を防ぐところまで対応することが重要です。
6. WordPressのセキュリティ対策を定期的に見直そう
WordPressのセキュリティ対策は、一度設定すれば終わりではありません。
新たな脆弱性が見つかったり、サイトの運用体制が変わったりすることもあるため、定期的に管理状況を確認しましょう。
特に、複数人でサイトを運営している場合は、アカウントの権限や利用者の変更を把握しておくことが大切です。
例えば、担当者が退職した場合や、制作会社との保守契約が終了した場合には、不要になったアカウントや接続情報を適切に整理してください。
また、使用していないプラグインやテーマを放置せず、必要性を確認したうえで整理することも、管理対象を減らすうえで役立ちます。
こうした基本的な管理を継続することが、トラブルの予防や早期発見につながります。
まとめ｜WordPressの不正アクセスを防ぐために、今すぐ確認しよう
WordPressを安全に運用するためには、管理画面やサイトの状態を定期的に確認することが大切です。
まずは、次の3点を確認してください。
- ユーザー一覧： 身に覚えのない管理者アカウントや、不適切な権限設定がないか
- プラグイン一覧： 知らないプラグインや、必要性を確認できないプラグインがないか
- 管理者パスワード： 十分な長さがあり、他のサービスと使い回していないか
さらに、WordPress本体・テーマ・プラグインの更新、二要素認証、定期的なバックアップも実施しておくと、セキュリティ対策を強化できます。
不正アクセスは、必ずしも目に見える形で発生するとは限りません。普段と異なる変化がないかを確認し、少しでも不審な点があれば放置せず、原因を調べることが重要です。
なお、今回紹介した確認だけで、不正アクセスの有無を完全に判断できるわけではありません。異常が見つかった場合は、サーバーのアクセスログやファイルの変更状況なども確認し、必要に応じてサーバー会社やセキュリティの専門家に相談してください。
大切なWebサイトを守るためにも、まずはWordPressの管理画面を開き、ユーザー一覧・プラグイン一覧・管理者パスワードの3点から確認してみましょう。
コメント