Table of Contents
By Marine Larmier - 最終更新日
毎年470万もの WordPress サイトがハッキングの被害に遭っていると聞いたことはありますか？
WordPress は比較的安全なコンテンツ管理システム（CMS）として知られていますが、その人気の高さから、ハッカーの格好の標的にもなっています。サイトが攻撃の対象になると、評判が損なわれ、売上にも影響が出るおそれがあります。最も効果的なセキュリティ対策で WordPress サイトを守ることは、顧客の信頼とロイヤルティを維持するために欠かせません。
このガイドでは、次のことがわかります。
- ウェブサイトを守るための、WordPress セキュリティの16のベストプラクティス
- ウェブサイトがよく直面する、WordPress で特に多い7つのセキュリティリスク
- ハッキングされたときの対処法
✅ 要点まとめ
- WordPress のセキュリティ問題の多くは、WordPress 本体ではなく、古いプラグイン、弱いパスワード、使っていないツール、不十分なメンテナンスの習慣から生じています。
- プラグイン、テーマ、WordPress コア、データベースをクリーンで最新の状態に保つことは、セキュリティリスクを減らし、脆弱性を避けるための最も簡単な方法の1つです。
- 二要素認証（2FA）、reCAPTCHA、強力なパスワード、ログイン試行回数の制限といった機能は、ブルートフォース攻撃や不正アクセスからサイトを守るのに役立ちます。
- 定期的なバックアップ、マルウェアスキャン、セキュリティプラグインは、問題を早期に発見し、万一のときにサイトをすばやく復旧するのに役立ちます。
- 健全な WordPress サイトは、セキュリティの確保もしやすくなります。WP Rocket を使えば、ワンクリックでデータベースをクリーンで最適な状態に保てるため、サイト全体のパフォーマンスが向上し、サーバーへの不要な負荷も減らせます。さらに、有効化した時点で、パフォーマンスのベストプラクティスの80%がデフォルトで適用されます。
WordPress のセキュリティ対策をマスターする方法
ウェブサイトにとって最も重要な WordPress のセキュリティ対策は、ログインのセキュリティ、更新、ファイルのアクセス権限の管理など、欠かせない分野をカバーしています。すべての対策に目を通し、ウェブサイトを守りながら作業を楽にしてくれるツールやプラグインを見つけましょう。
1. プラグイン、テーマ、WordPress コアをすべて更新しましょう
🏆 すぐに効果が出る対策：プラグイン、テーマ、WordPress コアを更新することで、多くのセキュリティ問題を避けられます。アップデートには、ハッカーに悪用されるおそれのある脆弱性の修正パッチが含まれていることが多いため、古いテーマやプラグインは使い続けず、最新バージョンを選びましょう。
✅ ベストプラクティス：
すべてを手動で更新しましょう。
- WordPress コアを更新するには、「ダッシュボード」>「更新」に移動します。その後、最新バージョンがインストールされていることを確認できるはずです。
- プラグインとテーマは、「プラグイン」>「インストール済みプラグイン」または「外観」>「テーマ」に移動し、各項目の「更新」をクリックします。
または、サイトを最新の状態に保ち続けられるよう、自動更新を常に有効にしておくことも検討しましょう。
- 「プラグイン」>「インストール済みプラグイン」>「すべて選択」>「自動更新を有効化」の順に進みます。
🛠️ ツールとプラグイン：
- WPUmbrella：WordPress サイトの安全性を監視してくれる、信頼できる WordPress の保守サービスです。
- MainWP：複数の WordPress サイトを同時に管理できる、便利なセルフホスト型のダッシュボードです。すべてを自動で更新して時間を節約するのに最適です。
- ManageWP：すべてのサイトを1か所で確認、管理、更新できる強力なツールです。
2. 海賊版（nulled）プラグインと使っていないプラグインをすべて削除しましょう
🏆 すぐに効果が出る対策：海賊版プラグインにはセキュリティパッチが提供されないため危険で、WordPress サイトに脆弱な侵入口を作ってしまいます。同じように、使ってもいないプラグインにハッカーがバックドアを仕込むことのないよう、未使用のプラグインは削除しましょう。
✅ ベストプラクティス：
- 「プラグイン」>「インストール済みプラグイン」に移動します。不要になったプラグインや、もう使っていないプラグインは、無効化して削除できます。
- 定期的にプラグインを見直し、不要なものは削除しましょう。
🛠️ ツールとプラグイン：
- Health Check & Troubleshooting：プラグインの競合や問題を特定するのに役立ちます。
- Wordfence Security：悪意のあるプラグインの特定に役立てることができます。
3. デフォルトのユーザー名「admin」を変更しましょう
🏆 すぐに効果が出る対策：ボットネットにユーザー名を見つけられにくくして、ブルートフォース攻撃を受ける可能性を減らしましょう。
✅ ベストプラクティス：
- WordPress の管理画面で「ユーザー」>「ユーザー一覧」に移動します。
- 「admin」ユーザーを編集し、ユーザー名を独自のものに変更します。
- 権限グループが「管理者」の新しいユーザーを作成して独自のユーザー名を付け、元の「admin」ユーザーを削除します。
4. ユーザーの権限グループを適切に設定しましょう
🏆 すぐに効果が出る対策：アクセスを制限してセキュリティを高めるために、権限グループは慎重に割り当てましょう。
例：ゲストライターには投稿を書く権限だけを与え、WooCommerce のショップオーナーの権限グループとは異なるコンテンツが表示されるようにするとよいでしょう。
✅ ベストプラクティス：
- 「ユーザー」>「ユーザー一覧」に移動して、ユーザーの権限グループを編集したり割り当てたりします。
- 各ユーザーに必要な権限だけが与えられていることを必ず確認しましょう。
🛠️ ツールとプラグイン：
- User Role Editor：WordPress のデフォルトの5つの権限グループにとどまらず、ユーザーの権限グループをカスタマイズできます。
- Members：カスタムの権限グループを作成、管理するためのプラグインです。
5. 強力なパスワードと二要素認証（2FA）を使いましょう
🏆 すぐに効果が出る対策：自動生成されたパスワードを使い、定期的に変更しましょう。二要素認証（2FA）では、ログイン時のセキュリティを強化するために、パスワードに加えて2つ目の本人確認が求められます。SMS や WhatsApp、普通のメールで送られるワンタイムパスワード（OTP）のほか、QR コードが使われることもあります。
✅ ベストプラクティス：新しいパスワードを作成するときは、「admin123」や「password」のような推測されやすいものは避けましょう。代わりに、次のベストプラクティスに従ってください。
- 強力なパスワードとは、大文字、小文字、特殊文字、数字を使ったパスワードのことです。
- 各プラットフォーム（cPanel、FTP、WordPress の管理画面など）のパスワードを定期的に変更しましょう。
- ユーザーがサイトの管理画面に接続するときのセキュリティの層をもう1つ増やせるよう、2FA を導入しましょう。
🛠️ ツールとプラグイン：
- WP2FA：2FA の設定手順を簡単にしてくれます。
- Google Authenticator：安全にログインするための OTP を生成するシンプルなアプリです。
6. フォーム（ログインページを含む）に reCAPTCHA を導入しましょう
🏆 すぐに効果が出る対策：reCAPTCHA は、ボットや WordPress への攻撃からサイトを守る最善の方法の1つです。フォームが送信されるときに、ユーザーが実在の人間かどうかを確認します。このセキュリティの層が加わることで、ブルートフォース攻撃によるログインの試みや迷惑なスパムを防げます。
✅ ベストプラクティス：
- ログインページ、登録フォーム、そのほかユーザーがコンテンツを投稿するあらゆるフォームに reCAPTCHA のオプションを追加しましょう。自動送信を防ぐのに役立ちます。
- reCAPTCHA のバージョンを常に最新に保つようにしましょう。
🛠️ ツールとプラグイン：
- Advanced Google reCAPTCHA：WordPress のログインページを含め、あらゆるフォームに reCAPTCHA を追加できる最高のプラグインの1つです。
7. ログイン試行回数を制限し、wp-admin のログイン URL を隠しましょう
🏆 すぐに効果が出る対策：ログイン試行回数を制限するとブルートフォース攻撃のリスクが減り、wp-admin のログイン URL を隠すとハッカーがサイトを狙いにくくなります。
✅ ベストプラクティス：
- ログインの失敗回数には必ず上限を設けましょう。たとえば、失敗を3回までしか許可しないことをおすすめします。そのうえで、15分後にもう一度試すようユーザーに案内できます。
- デフォルトのログイン URL「yourwordpresssite.com/wp-admin」は、「yoursite.com/welcome-to-your-account」のように、より独自性が高く推測されにくいものに変更しましょう。
🛠️ ツールとプラグイン：
- Limit Login Attempts Reloaded：サイトでのログイン失敗の回数を簡単に制限できます。
- WPS Hide Login：ログインフォームのページの URL を好きなものに変更できます。
8. ファイアウォール（WAF）を使いましょう
🏆 すぐに効果が出る対策：ファイアウォールは、悪意のある IP アドレスからの接続をブロックするのに役立ちます。ハッカーが認証情報を盗んでサイトにログインするのを防ぎます。
✅ ベストプラクティス：
- Web アプリケーションファイアウォール（WAF）を有効にして、不審なトラフィックがサーバーに届く前にブロックしましょう。
- ファイアウォールを設定して、既知の悪意のある IP やボットネットからのトラフィックを除外しましょう。
- XML-RPC はよく攻撃の標的になるため、必要なければ無効にしましょう。
🛠️ ツールとプラグイン：
- Wordfence Security や Sucuri Security は、悪意のあるトラフィックを特定してブロックし、ブルートフォース攻撃、DDoS、マルウェアなどの脅威から WordPress サイトを守ることができます。
9. サイトのマルウェアスキャンを定期的に実行しましょう
🏆 すぐに効果が出る対策：定期的なマルウェアスキャンは、サイトに損害を与えたり機密データを危険にさらしたりするおそれのある有害なコードを検出し、取り除くのに役立ちます。
✅ ベストプラクティス：
- マルウェアスキャンを毎週、毎月実行して、ウイルスを検出、除去しましょう。
- 緊急の脅威が検出されたときにメールで通知を受け取れるよう、アラートを設定しましょう。
- テーマ、プラグイン、WordPress コアのファイルは、マルウェアが含まれていないものを選ぶようにしましょう。また、購入前に利用者の声をいくつか確認しましょう。
- データベースは常にクリーンで最新の状態に保ちましょう。
🛠️ ツールとプラグイン：
- SiteCheck（Sucuri 提供）と Wordfence Security：サイトをスキャンして、ハッキングの可能性がある箇所を特定できます。
- WP Rocket：ワンクリックでデータベースを最適化できる、WordPress 向けの最も簡単なパフォーマンスプラグインです。また、読み込み時間を改善し、PageSpeed のパフォーマンススコアを高め、Core Web Vitals を最適化するための最も強力なツールでもあります。
10. 定期的にバックアップを取りましょう
🏆 すぐに効果が出る対策：定期的にバックアップを取っておけば、何か問題が起きたときに、サイトのクリーンなバージョンをすぐに復元できます。
✅ ベストプラクティス：
- 手作業なしでバックアップが自動で実行される仕組みを整えましょう。そうすれば、毎週のバックアップが必ず実行されます。
- たとえばクラウドに障害が起きても、どのバージョンでも取り出せるように、バックアップは複数の場所に保存することをおすすめします。
- バックアップを正しく復元できることを確かめるため、ときどきバックアップをテストしましょう。
ツールとプラグイン：バックアップをスムーズに管理するには、cPanel から使えるホスティング会社のバックアップツールか、UpdraftPlus のようなプラグインを使いましょう。
11. ファイル編集を無効にしましょう
🏆 すぐに効果が出る対策：WordPress の管理画面を通じてテーマやプラグインのファイルに不正にアクセスされるのを防ぎ、セキュリティリスクを減らしましょう。
✅ ベストプラクティス：コードの編集に慣れている場合は、ファイル編集を無効にするために、wp-config.php ファイルに次の行を追加することをおすすめします。
// Disallow file edit
define( 'DISALLOW_FILE_EDIT', true );このセキュリティ対策を追加しておけば、たとえ攻撃者に WordPress の管理画面へアクセスされても、重要なファイルを変更されることはありません。
🛠️ ツールとプラグイン：コードを手作業で編集したくない場合は、Sucuri プラグインの無料版を使って、ファイル編集を自動的に無効にできます。
12. SSL 証明書（HTTPS）をインストールしましょう
🏆 すぐに効果が出る対策：SSL 証明書があれば、ウェブサイトを HTTP から HTTPS に簡単に切り替えられます。HTTPS はユーザーとサーバーの間のデータを暗号化し、ウェブサイトの安全性を高めるのに役立ちます。
✅ ベストプラクティス：
- ホスティング会社から SSL 証明書を取得しましょう。ほとんどのホスティング会社はプランに SSL 証明書を含めています。
- ウェブサイトのセキュリティ証明書の有効期間は約1年なので、忘れずに更新しましょう。
🛠️ ツールとプラグイン：ほとんどのホスティング会社が SSL 証明書を提供していますが、Let’s Encrypt のツールを無料で使うこともできます。
💡 ヒント：ブラウザに小さな鍵のアイコンが表示されることで、HTTPS はユーザーにとって信頼の目印となり、データが安全だという安心感を与えます。さらに、購入を考えている人がセキュリティへの不安からショッピングカートを放棄するのも防げます。
13. ディレクトリのインデックス表示と閲覧を無効にしましょう
🏆 すぐに効果が出る対策：ディレクトリ構造へのアクセスをブロックして、ハッカーに脆弱性や機密ファイルを見つけられないようにしましょう。
✅ ベストプラクティス：
サイトの .htaccess ファイルの末尾に次の行を追加して、ディレクトリの閲覧を無効にします。
Options -Indexes- こうすることで、悪用されるおそれのあるディレクトリ内のファイル一覧がハッカーに見えなくなります。
.htaccessファイルが見つからない場合は、ホスティングのファイルマネージャーや FTP クライアントでファイルが表示されるようになっているか確認してください。
🛠️ ツールとプラグイン：.htaccess ファイルの更新には、FTP かホスティング会社のファイルマネージャーを使えます。
14. WordPress で操作のないユーザーを自動的にログアウトさせましょう
🏆 すぐに効果が出る対策：不正アクセスのリスクを減らすために、非アクティブな（操作のない）ユーザーは自動的にログアウトさせるとよいでしょう。攻撃者は、非アクティブなセッションを利用して、アカウントを乗っ取ったりパスワードを盗んだりすることがよくあります（特に、ユーザーがデバイスを放置している場合）。
✅ ベストプラクティス：
- セッションデータが不必要にさらされないよう、操作のないユーザーを自動的にログアウトさせる設定を追加しましょう。
🛠️ ツールとプラグイン：
Idle User Logout と Inactive Logout：一定時間操作がないとユーザーを自動的にログアウトさせ、開いたままのセッションからの不正アクセスを防ぎます。
15. 信頼できる WordPress セキュリティプラグインをインストールしましょう
🏆 すぐに効果が出る対策：オールインワンのセキュリティプラグインは、必要な機能を1か所にまとめて提供することで、ウェブサイトの保護を一元化するのに役立ちます。これで時間と手間を節約できます！
✅ ベストプラクティス：次の機能を備えたプラグインを探しましょう。
- マルウェアと脅威からの保護：ファイアウォール、マルウェアスキャン、DDoS 対策、IP ブロックで悪意のある活動を防ぎます。
- アクセス制御と認証：二要素認証（2FA）でユーザーのアクセスを保護し、ログイン試行回数を制限して、ユーザーの権限グループを管理します。
- サイトの整合性とバックアップ：侵害を受けたあとでもサイトを確実に復元できるようにします。
- 監視とアラート：脅威を追跡し、不審な活動を通知します。
- メンテナンスと更新：自動更新と SSL の管理でサイトの安全を保ちます。
- スパムフィルターなどのツール：サイトの中でも機密性の高い領域を保護します。
🛠️ ツールとプラグイン：
- Wordfence Security：リアルタイムの保護、マルウェアスキャン、ファイアウォールの機能を備えた、高い信頼を得ている WordPress セキュリティプラグインです。
- Sucuri Security：マルウェアの検出、ウェブサイトの監視、DDoS 対策の機能で知られています。
16. セキュリティを重視したホスティング会社を使いましょう
🏆 すぐに効果が出る対策：安全なホスティング会社は、サーバーレベルからサイトを確実に保護し、攻撃やダウンタイムのリスクを最小限に抑えてくれるため、セキュリティ戦略全体の土台になります。
✅ ベストプラクティス：
- オンラインのレビューを読んで、セキュリティ問題への対応やカスタマーサポートに関するホスティング会社の評判を確かめましょう。ファイアウォール、DDoS 対策、毎日のバックアップなどの機能があるかどうかも確認しましょう。
- サイトのパフォーマンスを最適にするために、稼働率99%の保証と高速なサーバーを備えたホスティング会社を選びましょう。
- セキュリティ設定を簡単に管理できるよう、使いやすいダッシュボードを選びましょう。
🛠️ プラグインとツール：一流のセキュリティプロトコルと信頼できるパフォーマンスで知られる SiteGround や Kinsta の利用を検討してみてください。
💡ヒント：最適なマネージド WordPress ホスティング会社について詳しくは、専用のガイドをご覧ください。
おすすめの WordPress セキュリティソリューション比較
| セキュリティソリューション | おすすめの用途 | 主な保護対象 | 設定のしやすさ | 主な機能 | メリット | デメリット | 連携方法 | 料金 |
|---|---|---|---|---|---|---|---|---|
| Wordfence | WordPress のセキュリティ全般 | マルウェア、ブルートフォース攻撃、ファイアウォールによる保護 | ✓ | ✓ ファイアウォール✓ マルウェアスキャン✓ ログインの保護✓ リアルタイムのトラフィック監視 | 初心者にやさしく、無料版でも機能が充実 | サイトによってはサーバーリソースの使用量が増えることがある | WordPress プラグイン | 無料 + 有料版は年額119 ドルから |
| Sucuri | マルウェアの駆除とウェブサイトの監視 | マルウェアの検出、DDoS 対策、監視 | ✓ | ✓ ファイアウォール（WAF）✓ マルウェアの駆除✓ セキュリティ監視✓ CDN との統合 | マルウェアの駆除に強く、クラウドベースの保護も強力 | 高度な保護は主に有料プランで利用可能 | WordPress プラグイン + クラウドファイアウォール | 年額229 ドルから |
| WP 2FA | ログインのセキュリティ | 不正アクセスと認証情報の盗難 | ✓ | ✓ 二要素認証✓ ユーザーへの適用の強制✗ マルウェア対策 | 設定がとても簡単で軽量 | ログインの保護だけに特化 | WordPress プラグイン | 無料 + 有料プラン |
| Limit Login Attempts Reloaded | ブルートフォース攻撃の防止 | 繰り返されるログインの失敗 | ✓ | ✓ ログイン試行回数の制限✓ IP ブロック✗ マルウェアスキャン | 軽量で初心者にやさしい | ログインのセキュリティ以外の保護は限定的 | WordPress プラグイン | 無料 + 有料プラン |
| UpdraftPlus | ウェブサイトのバックアップと復旧 | データの損失とハッキングされたサイトの復旧 | ✓ | ✓ 自動バックアップ✓ クラウドストレージ✓ ワンクリックでの復元 | バックアップの管理と復元の手順が簡単 | 総合的なセキュリティソリューションではない | WordPress プラグイン + クラウドストレージ | 無料 + 有料プラン |
| Cloudflare | ファイアウォールと DDoS 対策 | 悪意のあるトラフィックとサーバーへの攻撃 | 中程度 | ✓ Web アプリケーションファイアウォール✓ DDoS 対策✓ CDN✗ マルウェアの駆除 | 世界規模の強力なトラフィックのフィルタリングと、パフォーマンス面のメリット | 高度な機能には技術的な設定が必要な場合がある | DNS/CDN との統合 | 無料 + 有料プラン |
| WP Rocket | データベースのクリーンアップとサイトの安定性 | データベースに溜まった不要なデータと、サーバーへの不要な負荷 | ✓ | ✓ データベースの最適化✓ キャッシュの最適化✓ パフォーマンスのベストプラクティス✗ マルウェアスキャン | より高速で健全な WordPress 環境を簡単に維持できる | セキュリティ専用のプラグインではない | WordPress プラグイン | 年額59 ドルから * |
| Kinsta / SiteGround | セキュリティを重視したマネージドホスティング | サーバーレベルの攻撃とダウンタイム | ✓ | ✓ 毎日のバックアップ✓ ファイアウォールによる保護✓ SSL✓ マルウェアの監視 | マネージドの強力なセキュリティとメンテナンス環境 | 一般的な共有ホスティングより高価 | マネージド WordPress ホスティング | 中価格帯から高価格帯 |
* 最終的な価格は、お住まいの国や適用される税金によって異なる場合があります。
WordPress のセキュリティ問題トップ7
Jetpack によると、ハッカーにとっての主な侵入口は脆弱なユーザー認証情報と古いプラグインですが、それだけではありません。ここでは、今日の WordPress サイトが直面している主なセキュリティ上の脅威を、統計データと実例を交えて紹介します。
1. プラグインの脆弱性
WordPress サイトに無効化したままのプラグインや古いプラグインを入れている場合は、それらに開発者が提供する最新のセキュリティアップデートが含まれていない可能性があることを覚えておきましょう。テーマやプラグインの開発者は脆弱性に対処するアップデートを頻繁にリリースしていますが、そのバージョンを使わなければ、サイトが攻撃にさらされるおそれがあります。
📈 統計データ：
- Patchstack の最近の分析によると、WordPress のセキュリティ問題の97%はプラグインが原因です。
- また、MelaPress の調査では、ウェブサイトで自動更新を有効にしている WordPress ユーザーはわずか30%でした。
💡 具体例：2023年には、WP Fastest Cache や Essential Add-ons for Elementor などのプラグインで深刻な問題が見つかりました。開発者はユーザーに、できるだけ早く最新バージョンに更新するよう呼びかけました。
2. ブルートフォース攻撃（弱いパスワード）
ブルートフォース攻撃では、ハッカーがサイトにアクセスできるようになるまで、パスワードを推測するためにログインを何度も試みます。ハッカーはボットを使い、正しい組み合わせが見つかるまで、何千通りものユーザー名とパスワードを組み合わせて試します。
📈 統計データ：Melapress の調査によると、回答した WordPress ユーザーの41%が、二要素による本人確認（2FA）や十分に強力なパスワードを使っていません。
💡 具体例：こうしたボットは「ADMIN123」のようなパスワードを数秒で見つけ出し、ウェブサイト全体への不正アクセスを許してしまうおそれがあります。
3. アクセス制御の不備と、管理が不適切な権限グループや未定義の権限グループ
アクセス制御の不備とは、権限のない人が、本来アクセスできないはずの非公開情報にアクセスできてしまう深刻なセキュリティリスクです。セキュリティ侵害の可能性が高まり、非公開情報が見るべきでない人の目にさらされてしまいます。
📈 統計データ：Patchstack によると、2023年の WordPress のセキュリティ問題の12.9%は、アクセス制御の不備が原因でした。
💡 具体例：ゲストライターに制限なしで「編集者」レベルのアクセス権限を与えると、意図しない変更やデータ漏えいにつながるおそれがあります。
4. クロスサイトスクリプティング（XSS）攻撃
クロスサイトスクリプティング（XSS）は、攻撃者がコードに悪意のある JavaScript を注入できてしまうセキュリティ上の問題です。この有害なコードは被害者が気づかないうちに実行され、被害者のログイン情報とパスワードが攻撃者に漏れてしまいます。認証情報を手に入れた攻撃者は、ユーザーになりすますことができます。
📈 統計データ：Patchstack によると、2023年に WordPress のエコシステムで見つかった新しい脆弱性全体の53.3%を XSS 攻撃が占めていました。
💡 具体例：攻撃者がサイトのコメント欄に悪意のあるスクリプトを注入します。サイトはこのコメントをデータベースに保存するため、何も知らないユーザーがそのページを閲覧したときに、ハッカーは有害なコードを実行できます。その結果、ユーザーのログイン情報が盗まれる可能性があります。
5. SQL インジェクション攻撃
SQL インジェクションでは、攻撃者がデータベースへのクエリに悪意のあるコードを追加できるため、機密情報が漏れるおそれがあります。これにより、攻撃者が機密データを取得できてしまう場合があります。
📈 統計データ：WPHackedhelp によると、ハッカーの約20%が SQL 攻撃を行っています。最もよく被害に遭うのは、WooCommerce で構築された EC サイトです。
💡 具体例：ハッカーは、ユーザー名またはパスワードの入力欄に ” OR “”=” と入力するだけで、データベース内のユーザー名とパスワードにアクセスできてしまう場合があります。
6. クロスサイトリクエストフォージェリ（CSRF）の脆弱性とフィッシング
フィッシングは、正規のサイトのページを装ってユーザーをだます手口です。ユーザーは、実際にはハッカーがデータを集めているとは知らずに、機密情報を入力してしまいます。
📈 統計データ：2023年には、セキュリティ問題の17%近くが CSRF によるものでした。
💡具体例：典型的なフィッシング攻撃では、ハッカーが WordPress サイトの偽のログインページを作成します。ユーザーは安全だと思って認証情報を入力しますが、実際にはそれがハッカーに「盗み取られて」しまいます。
7. サービス拒否攻撃（DoS と DDoS）と質の低いホスティング
DoS 攻撃や DDoS 攻撃からサイトを守るには、信頼性が高く安全性を重視したホスティングを選ぶことが欠かせません。これらの攻撃はサーバーに過剰な負荷をかけ、正規のユーザーがサイトに一時的にアクセスできない状態にします。
💡 具体例：大規模なセール期間中に、WordPress で運営している EC サイトが競合他社から DDoS 攻撃を仕掛けられたとします。サイトが利用できなくなり、売上の一部を失ってしまいます。少し極端な例ですが、イメージはつかめるでしょう。
これで、セキュリティ対策のベストプラクティスと、WordPress へのさまざまな攻撃の発生源については、もうおわかりですね！とはいえ、強固なセキュリティ戦略を実施していても、サイトが侵害される可能性はあります。次のセクションでは、万一そうなったときにサイトの管理を取り戻すために必要な手順を説明します。
WordPress サイトがハッキングされたときの対処法
WordPress サイトがハッキングされた場合は、以下のガイドラインに従って、サイトの管理をすばやく取り戻し、セキュリティを強化しましょう。
1. サイトをオフラインにしましょう
それ以上のアクセスを防ぐために、サイトを一時的にオフラインにするか、メンテナンスモードにしましょう。これにより、ほかの WordPress ファイルへのマルウェアの拡散が抑えられ、訪問者のデータも守れます。
2. すべてのパスワードを変更しましょう
サイトに関連するすべてのアカウント（WordPress の管理画面、ホスティングアカウント、FTP、データベース、メール）のパスワードを変更しましょう。さらなる侵害を防ぐために、強力で使い回しのないパスワードを使いましょう。
3. ホスティング会社に連絡しましょう
ホスティング会社に連絡しましょう。多くのホスティング会社がハッキングされたサイトの支援を提供しており、サーバーレベルの問題をスキャンすることもできます。対応を早めるために、次の質問に答えられるよう準備しておきましょう。
- WordPress の管理画面にアクセスできますか？
- サイトに不審なリンクや新しいコンテンツはありますか？
- Google がセキュリティの問題でサイトに警告を出していますか？
- サイトが別の URL にリダイレクトされていますか？
4. マルウェアをスキャンしましょう
WordPress の管理画面にまだアクセスできるなら、今こそ Wordfence や Sucuri のようなセキュリティプラグインをインストールしましょう。これらのプラグインが悪意のあるファイルを見つけ出し、マルウェアスキャンを実行して攻撃の発生源を突き止めます。
5. クリーンなバックアップを復元しましょう
最近のバックアップがあれば、サイトをクリーンなバージョンに復元しましょう。有害なファイルを再び持ち込まないよう、バックアップが攻撃より前の日付のものであることを必ず確認してください。
6. WordPress セキュリティの専門会社に連絡しましょう
専門家の助けが必要なら、WordPress のセキュリティサービスに依頼することを検討しましょう。たとえば WPBeginner Pro は、ハッキングされたサイトの修復を1回限りの料金249 ドルで提供しており、迅速な解決策となります。
よくある質問
WordPress のハッキングの主な原因は何ですか？
WordPress のハッキングの多くは、古いプラグイン、弱いパスワード、不十分なログインの保護、放置されたメンテナンスが原因です。使っていないプラグインや海賊版プラグインも、攻撃者にとってよくある侵入口になります。
WordPress のセキュリティプラグインはどれが最適ですか？
Wordfence と Sucuri は、WordPress のセキュリティプラグインの中でも特に信頼されている2つです。Wordfence はファイアウォールによる保護とマルウェアスキャンで人気があり、Sucuri はウェブサイトの監視とクリーンアップサービスで知られています。
小規模な WordPress サイトでもハッキングされますか？
はい。小規模なウェブサイトは、大規模なサイトより保護が手薄なことが多いため、ボット、ブルートフォース攻撃、スパム、マルウェアのよくある標的になります。
ブルートフォース攻撃を防ぐ最善の方法は何ですか？
強力なパスワードを使い、二要素認証（2FA）を有効にし、ログイン試行回数を制限し、ログインページに reCAPTCHA を追加しましょう。デフォルトのログイン URL を変更すると、保護の層がさらに1つ加わります。
初心者でも取り組みやすい WordPress のセキュリティ対策はどれですか？
まずは基本から始めましょう。自動更新を有効にし、使っていないプラグインを削除し、強力なパスワードを使い、バックアップを有効にして、信頼できるセキュリティプラグインをインストールします。こうしたシンプルな手順で、よくある攻撃の多くを防ぐことができます。
WordPress サイトはどのくらいの頻度でバックアップすればよいでしょうか？
サイトの更新頻度によって異なります。ブログなら週1回のバックアップで足りる場合もありますが、EC サイトや会員制サイトでは、顧客や注文の重要なデータを失わないよう、通常は毎日のバックアップが必要です。
ファイアウォールとセキュリティプラグインの違いは何ですか？
ファイアウォールは悪意のあるトラフィックがウェブサイトに届く前にブロックし、セキュリティプラグインはマルウェアのスキャン、ログインの保護、脆弱性の監視を行います。WordPress のツールには、この両方の機能を備えたものが多くあります。
ウェブサイトのパフォーマンスは WordPress のセキュリティに影響しますか？
間接的には影響します。表示が遅いウェブサイトやメンテナンスが不十分なウェブサイトには、古いプラグイン、肥大化したデータベース、不要なスクリプトが残っていることが多く、それらが時間とともにセキュリティと安定性のリスクを高めることがあります。
WP Rocket は WordPress サイトを安全で健全な状態に保つのにどう役立ちますか？
WP Rocket を使えば、WordPress のデータベースをワンクリックでクリーンアップして最適化し、期限切れのトランジェントや投稿のリビジョンといった不要なデータを減らせます。高速で手入れの行き届いたウェブサイトは、一般に、管理や監視がしやすく、長期にわたって安定した状態を保ちやすくなります。
WordPress サイトがハッキングされたら、どうすればよいですか？
すぐにサイトをメンテナンスモードにし、すべてのパスワードを変更し、マルウェアをスキャンして、クリーンなバックアップがあれば復元し、ホスティング会社か WordPress のセキュリティ専門家に連絡して助けを求めましょう。
WordPress の脆弱性はどこから生まれますか？
WordPress のセキュリティ問題の多くは、WordPress 本体ではなく、古いプラグイン、弱いパスワード、使っていないツール、不十分なメンテナンスの習慣から生まれます。この記事で取り上げた WordPress のセキュリティ問題トップ7でも、最初に挙げたのはプラグインの脆弱性です。Patchstack の分析によると、WordPress のセキュリティ問題の97%はプラグインが原因です。
WordPress に二段階認証を設定したほうがいいですか？
はい、パスワードに加えて2つ目の本人確認を求める二要素認証（2FA）、いわゆる二段階認証を設定すれば、ログイン時のセキュリティをさらに強化できます。この記事では、強力なパスワードと組み合わせて使うことをすすめています。2つ目の本人確認には、SMS や WhatsApp、メールで送られるワンタイムパスワード（OTP）や QR コードが使われることがあり、WP2FA のようなプラグインを使うと設定が簡単になります。
WordPress のログイン URL は変更したほうがいいですか？
はい、デフォルトの wp-admin のログイン URL を推測されにくい独自のものに変更すると、ハッカーがサイトを狙いにくくなります。あわせてログイン試行回数を制限すれば、ブルートフォース攻撃のリスクも減らせます。WPS Hide Login のようなプラグインを使えば、ログインフォームのページの URL を好きなものに変更できます。
まとめ
これで、WordPress サイトを守るためのベストプラクティスと、最もよくある攻撃の発生源がおわかりいただけたでしょう。セキュリティの基本となる欠かせない対策は、ログインページの保護、強力なパスワードの作成、そしてプラグインをクリーンに保ち、常に最新の状態にしておくことです。安全なサイトを提供することは、評判を守るうえで極めて重要です。セキュリティ対策の不足が原因でクレジットカード情報が漏えいしたと警告するデータ侵害の通知を顧客が受け取ったら、どうなるか想像してみてください。そんな事態は避けたいはずです！
セキュリティだけでなく、パフォーマンスと読み込み速度も、信頼を築くうえで重要な役割を果たします。適切なツールでサイトの安全を確保したら、WP Rocket のようなプラグインでサイトの速度を向上させることも検討してみてください。
WP Rocket は最高のパフォーマンスプラグインの1つで、有効化するだけでパフォーマンスのベストプラクティスの80%を適用します。しかも、リスクはまったくありません。WP Rocket には14日間の無料トライアルまたは14日間の返金保証が付いているので、ご自身のサイトで試して、その効果を自分の目で確かめられます。
安全で、しかも驚くほど速い WordPress サイトを手に入れるときが来たようです！
