WordPressがハッキングされた？不正ログイン時の確認ポイント解説

WordPressサイトを運営していると、ある日突然ログイン失敗のログが大量に記録されていることがあります。

特にIPアドレスが毎回違い、複数のユーザー名でログインが試されている場合は、ブルートフォース攻撃（総当たり攻撃）の可能性があります。

さらに実際にログインされてしまうと、知らない記事の投稿やユーザー追加など、サイトが改ざんされるケースもあります。

このような状況では、単に記事を削除するだけではなくサイト全体の安全確認とセキュリティ対策を行うことが重要です。

ただし、初めて経験すると「どこまで確認すればいいのか」「バックドアなどは大丈夫なのか」と不安になる人も多いと思います。

そこでこの記事では、WordPressで不正ログインやハッキングの形跡があった場合に確認すべきポイントと、再発防止のためのおすすめセキュリティ対策をわかりやすく解説します。

サイトを安全に運営するために、ぜひ参考にしてみてください。

 

WordPressで不正ログインが起きる主な原因

WordPressを運営していると、ある日突然ログイン失敗のログが大量に記録されていることがあります。

特に深夜帯に大量のアクセスがあり、IPアドレスが毎回違う場合は自動ツールによるログイン攻撃の可能性が高いです。

実際、WordPressは世界中で使われているCMSのため、常に攻撃の対象になりやすいと言われています。

そのため、サイト運営をしていると特に問題がなくてもログイン攻撃を受けることは珍しくありません。

ここでは、WordPressで不正ログインが発生する主な原因について解説します。

 

ブルートフォース攻撃によるログイン突破

WordPressで最も多い攻撃がブルートフォース攻撃です。

これはログイン画面に対して、ユーザー名とパスワードの組み合わせを機械的に何度も試す攻撃のことを言います。

専用のツールを使うことで、次のようなパターンを自動で試されます。

試される内容	例
ユーザー名	admin / administrator / test など
パスワード	password / 123456 / admin123 など
組み合わせ	大量のパターンを自動生成

この攻撃は世界中のIPから自動的にアクセスされるため、ログを見るとIPアドレスが毎回違うケースが多いです。

もしパスワードが弱い場合はログイン突破されてしまう可能性があります。

 

弱いパスワードや使い回し

不正ログインの原因として多いのがパスワードの強度不足です。

例えば次のようなパスワードは攻撃に弱いと言われています。

弱いパスワードの例	理由
123456	よく使われるパターン
password	辞書攻撃で突破されやすい
admin123	ユーザー名と組み合わせやすい

また、別のサービスで使っているパスワードをそのままWordPressでも使っているケースも危険です。

もし他のサービスから情報漏えいが起きた場合、同じパスワードを使っているサイトにもログインされる可能性があります。

そのためWordPressのパスワードは他サービスと必ず別にすることが重要です。

 

古いWordPressやプラグインの脆弱性

もう一つよくある原因がソフトウェアの脆弱性です。

WordPress本体やプラグインには、定期的にセキュリティ更新が行われています。

しかし古いバージョンを使い続けていると既知の脆弱性を利用した攻撃を受ける可能性があります。

対象	リスク
WordPress本体	脆弱性を突いた侵入
テーマ	古いテーマのセキュリティ問題
プラグイン	管理画面の権限突破など

特に注意したいのは長期間更新されていないプラグインです。

こうしたプラグインはセキュリティ対策が不十分なこともあり、攻撃の入口になることがあります。

そのためWordPressサイトを安全に運営するためには定期的なアップデートがとても重要になります。

では、もし実際に不正ログインが発生してしまった場合はどう対応すればよいのでしょうか。

 

WordPressで不正ログインされた時にまずやること

WordPressで不正ログインの形跡があった場合、まず大切なのは被害をこれ以上広げないことです。

実際にログインされてしまっている場合、記事の投稿だけでなくユーザー追加・ファイル改ざん・バックドア設置などが行われている可能性もあります。

そのため、単に記事を削除するだけでは不十分なケースもあります。

まずは落ち着いて、次のようなポイントを順番に確認していくことが重要です。

初期対応を正しく行うことで被害を最小限に抑えることができます。

 

パスワードとユーザー権限の確認

最初に確認するべきなのがログイン情報の変更です。

すでにログインに成功されている場合、パスワードが知られている可能性があります。

そのため管理者だけでなく、WordPressに登録されているすべてのユーザーのパスワードを変更するのが安全です。

確認項目	対応内容
管理者パスワード	強力なパスワードへ変更
編集者・投稿者	全ユーザーのパスワード変更
メールアドレス	管理者メールも変更検討

また、ユーザーの権限も確認しておきましょう。

攻撃者が管理者権限のアカウントを追加しているケースもあるためです。

もし見覚えのないユーザーがあればすぐに削除する必要があります。

 

不正記事やユーザーの削除

次に確認するのが投稿された記事や固定ページです。

ハッキングされたサイトでは、知らない記事が投稿されていることがあります。

特に多いのが次のような内容です。

不正コンテンツ	特徴
海外SEOスパム記事	英語のリンクだらけの記事
広告リンク	外部サイトへの誘導
自動生成記事	意味不明な文章

こうした記事は検索エンジン評価にも悪影響を与える可能性があります。

そのため発見した場合はすぐ削除しておくことが重要です。

またユーザー一覧も確認して、不審なアカウントがないかチェックしておきましょう。

 

バックアップからの復元も検討する

もしハッキングの範囲が不明な場合は、バックアップから復元する方法も検討する必要があります。

特に次のような場合は復元の方が安全なケースがあります。

状況	理由
改ざん箇所が分からない	バックドアの可能性
複数のファイル変更	感染範囲が広い
テーマ改ざん	コード埋め込みの可能性

この場合は侵入前のバックアップがあれば、その状態に戻すことで安全性を回復できる可能性があります。

ただし復元後もパスワード変更やアップデートは必ず行ってください。

ここまでが不正ログイン発覚直後に行う基本対応です。

ただし、攻撃者がすでにファイルを設置している場合は再侵入される可能性もあります。

 

ハッキングされた場合に確認すべきポイント

WordPressで不正ログインが確認された場合、記事削除やパスワード変更だけでは完全に解決していない可能性があります。

攻撃者は再び侵入できるようにバックドアを設置することもあるためです。

そのため不正ログインが発覚した場合は、サイト全体を一度チェックすることが重要です。

ここでは特に確認しておきたいポイントを紹介します。

 

不審なユーザーアカウントの確認

まず確認するべきなのがWordPressのユーザー一覧です。

ハッキングされたサイトでは、攻撃者が新しい管理者アカウントを追加していることがあります。

確認ポイント	チェック内容
ユーザー名	見覚えのないアカウントがないか
権限	管理者権限のユーザーが増えていないか
メールアドレス	知らないメールアドレスが登録されていないか

もし不審なユーザーが見つかった場合はすぐ削除してください。

その際、ユーザーが作成した投稿も確認しておくと安心です。

 

テーマやプラグインの改ざん確認

次に確認したいのがテーマやプラグインのファイルです。

ハッキングされると、テーマのPHPファイルに不審なコードが追加されるケースがあります。

チェック場所	確認内容
テーマファイル	functions.phpなどの改ざん
プラグイン	知らないプラグインが追加されていないか
アップロードフォルダ	怪しいPHPファイルがないか

特に注意したいのはアップロードフォルダにあるPHPファイルです。

通常は画像ファイルが入る場所なので、PHPファイルがある場合はバックドアの可能性があります。

 

バックドアや不審なPHPファイルの確認

ハッキングでよく使われる手口がバックドア設置です。

これは攻撃者が再びアクセスできるように、サーバー内に特殊なPHPファイルを設置するものです。

よくある場所	理由
wp-content/uploads	チェックされにくい
テーマフォルダ	コードに紛れ込ませやすい
プラグインフォルダ	実行されやすい

バックドアの特徴として、次のようなコードが含まれていることがあります。

怪しい関数	用途
base64_decode	コードの隠蔽
eval	コード実行
gzinflate	圧縮データ展開

もしこのようなファイルが見つかった場合は削除またはバックアップ復元を検討してください。

また、セキュリティスキャンを行うことで不審ファイルを見つけやすくなることもあります。

こうした確認を行った後は、再発防止のためにセキュリティ対策を強化することが重要です。

 

WordPressのおすすめセキュリティ対策

WordPressで不正ログインが発生した場合、原因を確認するだけでなく再発防止の対策も行うことが重要です。

WordPressは世界中で利用されているCMSのため、自動ツールによる攻撃が日常的に行われています。

しかし基本的なセキュリティ対策を行うことで、多くの攻撃は防ぐことができます。

ここではWordPress運営者が実施しておきたい代表的な対策を紹介します。

 

ログインURL変更とログイン試行制限

WordPressのログインURLは初期状態だと/wp-login.phpや/wp-adminになっています。

このURLは世界中で知られているため、攻撃ツールが自動的にアクセスしてくることがあります。

そのためログインURLを変更することで攻撃対象になりにくくする効果があります。

対策	内容
ログインURL変更	ログインページのURLを変更する
ログイン試行制限	ログイン失敗回数を制限
IPブロック	怪しいIPアドレスを遮断

ログイン試行回数を制限することでブルートフォース攻撃を防ぐ効果も期待できます。

 

二段階認証と強力なパスワード設定

もう一つ重要なのがログイン認証の強化です。

通常のログインはユーザー名とパスワードだけですが、二段階認証を導入すると追加の認証コードが必要になります。

認証方式	内容
通常ログイン	ユーザー名＋パスワード
二段階認証	パスワード＋スマホ認証コード

仮にパスワードが漏れても、スマホ認証が必要になるためログイン突破される可能性を大きく下げることができます。

またパスワードは次のような条件を満たすものが推奨されます。

条件	理由
12文字以上	総当たり攻撃に強い
英数字＋記号	推測されにくい
使い回し禁止	他サービス流出対策

セキュリティプラグインの導入

WordPressのセキュリティ対策として、多くのサイトで利用されているのがセキュリティプラグインです。

これらのプラグインを使うことで、ログイン攻撃対策やファイルスキャンなどを自動で行うことができます。

機能	内容
ログイン制限	ブルートフォース攻撃対策
ファイルスキャン	改ざんファイル検出
IPブロック	攻撃IP遮断
通知機能	不審ログインのアラート

代表的なセキュリティプラグインとしては次のようなものがあります。

プラグイン	特徴
Wordfence Security	ファイアウォールとマルウェアスキャン
All In One WP Security	ログイン保護やURL変更
Login LockDown	ログイン試行回数制限

こうした対策を組み合わせることで、WordPressサイトの防御力を大きく高めることができます。

 

まとめ

WordPressは世界中で利用されているCMSのため、ログイン攻撃や不正アクセスの対象になることは珍しくありません。

特にブルートフォース攻撃は自動ツールで行われることが多く、サイト運営者が気づかないうちにログインを試されているケースもあります。

もし不正ログインが発生した場合は、記事削除だけでなくサイト全体の確認を行うことが重要です。

ユーザーアカウントやテーマファイル、バックドアの有無などを確認し、必要に応じてバックアップ復元も検討すると安心です。

また再発防止のために、ログイン対策やセキュリティプラグインなどの基本的なセキュリティ対策を整えておくことも大切になります。

対策	目的
パスワード変更	アカウント保護
ログインURL変更	攻撃対象の回避
二段階認証	ログイン認証強化
セキュリティプラグイン	不正アクセス対策

WordPressサイトを安全に運営するためには、トラブルが起きてから対応するだけでなく、日頃からセキュリティ対策を意識しておくことが大切です。

今回紹介した確認ポイントや対策を実施することで、不正ログインやハッキングのリスクを減らすことができます。

もしログイン攻撃や不審な動きが見られた場合は、早めに原因を確認して適切な対策を行い、安全なサイト運営を続けていきましょう。