WordPressが狙われる理由と今すぐ対策すべき5つの脆弱ポイント
WordPressが攻撃者に狙われる最大の理由は、世界のWebサイトの4割以上で使われる圧倒的なシェアです。一つの脆弱性を突く手法さえ確立すれば膨大なサイトに使い回せるため、攻撃効率が極めて高くなります。
今すぐ確認すべき弱点は、主に次の5点です。
- ログインページへの総当たり攻撃
- 更新を怠ったプラグイン・テーマの既知脆弱性
- ファイルパーミッションの設定ミス
- 推測されやすい管理者ユーザー名
- バックアップ未整備による復旧不能
いずれも標的型攻撃ではなく、自動化されたボットが機械的に探し回るありふれた穴です。だからこそ基本設定を徹底するだけで大きな効果があります。
管理画面・ログインページへの不正アクセス
WordPressのログインURLは初期状態で /wp-login.php と /wp-admin/ に固定され、攻撃者はここへ辞書攻撃を仕掛けます。公開直後のサイトでも、1日数百件のログイン試行がログに残るのは珍しくありません。
対策の基本は、ログイン試行回数の制限と、失敗が続いたIPの一時ブロックです。さらに二要素認証を導入すれば、パスワードが漏れても侵入を防げます。管理画面は放置すれば必ず叩かれる前提で設計しましょう。
プラグイン・テーマの脆弱性を突く攻撃
侵入経路は、WordPress本体よりもサードパーティ製プラグインやテーマの脆弱性であるケースが圧倒的に多いのが実情です。人気プラグインの深刻な脆弱性が公表されると、パッチ適用前のサイトを狙う攻撃が数時間以内に始まります。
対策はシンプルで、使っていないプラグインは停止ではなく削除し、稼働中のものは常に最新へ更新することに尽きます。開発が止まり1年以上更新のないプラグインは脆弱性が放置されやすいため、乗り換えを検討してください。
プラグインに頼らず設定できる基本のセキュリティ強化策
プラグインを増やすほど攻撃面も広がるため、まずはサーバー側やファイル単位でできる対策を固めるのが堅実です。この種の設定は一度行えば恒常的に効き、プラグインのように動作不良で無効化される心配もありません。
特に効果が高いのは、設定ファイルの保護、ファイル権限の適正化、ログインURLとユーザー名の変更です。いずれも追加コストゼロで、自動化ボットの多くはこの段階で弾かれます。まずは足元の設定から見直しましょう。
wp-config.phpとファイルパーミッションの適正化
データベース接続情報を含む wp-config.php は最重要ファイルです。パーミッションを 600 または 400 に絞り、Webサーバー以外から読めない状態にします。可能ならドキュメントルートの一つ上の階層へ移せば、直接アクセスのリスクをさらに下げられます。
ディレクトリは 755、一般ファイルは 644 が基本です。777 のような全許可設定は改ざんの温床になるため厳禁です。
find /var/www/html -type d -exec chmod 755 {} ;
find /var/www/html -type f -exec chmod 644 {} ;
chmod 600 wp-config.php管理者ユーザー名・ログインURLの変更で総当たり攻撃を防ぐ
初期設定のまま admin を使っていると、攻撃者はパスワードだけを推測すればよく、突破の確率が跳ね上がります。ユーザー名は推測しにくい文字列にし、投稿者名として表示されるニックネームは別に設定して露出を防ぎましょう。
ログインURLの変更も有効です。/wp-login.php を独自パスに変えるだけで、URL固定を前提とした自動攻撃の大半は空振りに終わります。単独で万全ではありませんが、他施策と組み合わせれば攻撃試行の総量を大幅に減らせます。
導入必須のセキュリティプラグインと役割別の選び方
基本設定を固めたら、リアルタイムの防御と検知を担うプラグインで補強します。多機能な一本を盲信するのではなく、ファイアウォール、バックアップ、マルウェアスキャンという役割ごとに適材を選ぶことが肝心です。
入れすぎは競合や表示速度低下を招くため、機能が重複するものは避けます。自社で運用するのか、日本語サポートを重視するのかで最適解は変わるので、要件を整理してから選定するのが失敗しないコツです。
ファイアウォール系プラグイン（Wordfence・SiteGuard）の比較
Wordfenceは、Webアプリケーションファイアウォール、ログイン保護、マルウェアスキャンを統合し、攻撃パターンの定義を随時更新してくれる高機能プラグインです。その分設定項目が多く、英語ベースのため中〜上級者向けと言えます。
一方のSiteGuard WP Pluginは国産で日本語表示が分かりやすく、ログインURL変更や画像認証など総当たり対策に特化しています。手軽に守りを固めたいならSiteGuard、包括的な防御と検知まで求めるならWordfence、という使い分けが現実的でしょう。
バックアップとマルウェアスキャンを担うプラグイン
ファイアウォールで防ぎきれなかった場合に備え、バックアップとスキャンは別立てで用意します。バックアップにはUpdraftPlusが広く使われ、データベースとファイルを分けてクラウドへ自動保存できる点が実用的です。
マルウェアスキャンは、Wordfenceのスキャン機能やサーバー側のウイルス対策と併用すると死角が減ります。ただしスキャンは入れて安心するものではなく、検知アラートを確実に受け取れる通知設定までそろえて初めて意味を持ちます。
改ざん・マルウェア感染を早期に検知する運用体制の作り方
セキュリティは導入して終わりではなく、異常にどれだけ早く気づけるかで被害規模が決まります。改ざんは発見までの時間が長いほど、SEO評価の低下や顧客情報の流出といった二次被害が拡大するからです。
実務では、ファイルの改変検知、ログインや管理操作のログ監視、更新情報の定点チェックを組み合わせます。とくにECサイトでは、決済まわりのファイルに予期しない変更がないかを重点的に見張る価値があります。
さらに、担当者が変わっても運用が途切れないよう、確認頻度と対応手順を文書化しておきましょう。属人化した監視は、担当者不在の週末に限って穴になりがちです。
万が一の被害に備えるバックアップと復旧手順
どれだけ対策しても侵入をゼロにはできない以上、最後の砦は「確実に戻せるバックアップ」です。改ざんされても、感染前の正常な状態が残っていれば、復旧は現実的な作業に収まります。
復旧はまずサイトを一時停止して被害の拡大を止め、感染ファイルを特定したうえで、正常なバックアップからファイルとデータベースを戻します。復元後は全パスワードを再発行し、侵入経路となった脆弱性を塞いでから公開を再開してください。
復旧を左右する自動バックアップの頻度と保存先
バックアップの頻度は、サイトの更新頻度に合わせます。日々注文が入るECサイトなら毎日、更新の少ないコーポレートサイトなら週次が目安です。復元時にどこまで取り戻せるかは、この間隔でほぼ決まります。
そして最も重要なのが保存先です。同じサーバー内だけに置くと、サーバーごと侵害されたときに一緒に失われます。クラウドストレージや別サーバーなど、本番環境から切り離した場所へ必ず複製を持たせましょう。バックアップは「取れていること」ではなく「戻せること」を定期的に検証して、初めて完成します。
EC-CUBEゴールドパートナー
