WordPressセキュリティ対策ガイド｜ハッキング・不正ログインを防ぐ方法

WordPressは世界中のWebサイトの43%以上で使われているCMSです。しかし、その圧倒的なシェアゆえに毎日数万件以上のサイバー攻撃がWordPressサイトに対して行われています。

「うちは小さなサイトだから大丈夫」と思っていませんか？実は、攻撃者は自動化ツールで無差別にWordPressサイトをスキャンしているため、サイトの規模に関係なく被害に遭う可能性があります。

この記事では、WordPressのセキュリティ対策として初心者でも今すぐ実践できる10の設定を、具体的な手順付きで解説します。

WordPressがハッキングされる3つの理由

まず、なぜWordPressは狙われやすいのかを理解しましょう。

理由1: 圧倒的なシェア

WordPressは全Webサイトの43%を占めています。攻撃者にとっては、1つの脆弱性を見つけるだけで何百万ものサイトを攻撃できるため、非常に「効率の良い」ターゲットです。

理由2: プラグインの脆弱性

WordPressのプラグインは誰でも開発・公開できます。便利な反面、セキュリティホールを持つプラグインが数多く存在します。特に更新が止まったプラグインは危険です。

Sucuri社の調査によると、ハッキングされたWordPressサイトの約50%が古いプラグインが原因でした。

理由3: デフォルト設定のまま運用

管理画面URL（/wp-admin）やユーザー名（admin）をデフォルトのまま使っているサイトは、ブルートフォース攻撃の格好のターゲットになります。

WordPressの実際のハッキング被害事例

セキュリティ対策の重要性を実感するために、実際の被害パターンを紹介します。

ケース1: マルウェア埋め込み 古いプラグインの脆弱性を突かれ、サイトにマルウェアを仕込まれる。訪問者のPCにウイルスが感染し、Googleから「このサイトは危険です」と警告表示される。

ケース2: スパムリダイレクト サイトにアクセスすると、まったく関係のないスパムサイト（偽ブランド品販売サイトなど）にリダイレクトされる。SEO評価が壊滅的に低下。

ケース3: データベース改ざん 管理者アカウントを乗っ取られ、サイトの全コンテンツを削除・改ざんされる。バックアップがなければ復旧不可能。

ケース4: フィッシングサイト設置 サーバー内に偽のログインページを設置され、銀行やECサイトのフィッシング詐欺に利用される。最悪の場合、サーバー契約自体が強制停止される。

これらの被害は、以下の10の対策でほぼ確実に防ぐことができます。

今すぐやるべき10のWordPressセキュリティ対策

対策1: Wordfenceセキュリティプラグインを導入する

Wordfenceは世界で最も利用されているWordPressセキュリティプラグインで、無料版でも十分な機能を備えています。

Wordfenceの主な機能:

• ◆WAF（Webアプリケーションファイアウォール）で不正リクエストをブロック
• ◆マルウェアスキャン（ファイル改ざんを自動検知）
• ◆ブルートフォース攻撃の自動ブロック
• ◆リアルタイムの攻撃トラフィック監視
• ◆ログインセキュリティ（2FA対応）

導入手順:

1. ◆管理画面 →「プラグイン」→「新規追加」→「Wordfence」で検索
2. ◆インストール → 有効化 3.「Wordfence」→「Firewall」→「Manage Firewall」→「Optimize」をクリック
3. ◆.htaccessモードを選択 → ファイアウォールが最高レベルで動作

対策2: 二段階認証（2FA）を設定する

パスワードが漏洩しても、二段階認証があれば不正ログインをほぼ完全に防げます。

設定手順（Wordfence内蔵の2FA）: 1.「Wordfence」→「Login Security」→「Two-Factor Authentication」 2. Google AuthenticatorアプリでQRコードをスキャン 3. 表示されたコードを入力して設定完了 4. リカバリーコードを安全な場所に保管

対策3: ログインURLを変更する

/wp-adminや/wp-login.phpは攻撃者が最初に試すURLです。ログインURLを変更するだけで、攻撃の大半を門前払いできます。

設定手順: 1.「WPS Hide Login」プラグインをインストール・有効化 2.「設定」→「一般」→ ページ下部の「Login URL」を変更 3. 例: https://example.com/my-secret-login 4. 変更後のURLを必ずブックマーク

対策4: ログイン試行回数を制限する

ブルートフォース攻撃（パスワード総当たり攻撃）を防ぐため、ログイン失敗回数に制限をかけます。Wordfenceを導入済みなら、すでにこの機能が含まれています。

Wordfenceでの推奨設定: -「Wordfence」→「All Options」→「Brute Force Protection」

• ◆Lock out after 5回 のログイン失敗
• ◆Lock out for 30分間
• ◆Count failures over 5分間

対策5: 管理者ユーザー名を「admin」から変更する

adminは攻撃者が最初に試すユーザー名です。WordPressのダッシュボードからは直接変更できないため、以下の手順で対応します。

変更手順:

1. ◆管理画面 →「ユーザー」→「新規追加」で別のユーザー名で管理者を作成
2. ◆新しい管理者アカウントでログインし直す
3. ◆旧adminアカウントを削除（投稿の帰属先は新アカウントに変更）

対策6: WordPress・プラグイン・テーマを常に最新版に保つ

ハッキング被害の約50%が古いプラグインが原因です。更新を怠ることは最大のセキュリティリスクです。

自動更新の設定方法:

• ◆WordPress本体:「ダッシュボード」→「更新」→ 自動更新を有効
• ◆プラグイン:「プラグイン」一覧 →「自動更新を有効化」をクリック
• ◆テーマ:「外観」→「テーマ」→ 使用中テーマの「自動更新を有効化」

対策7: SSL証明書（HTTPS化）を設定する

HTTPSはセキュリティの基本中の基本です。通信を暗号化し、ログイン情報やフォーム入力が第三者に傍受されるのを防ぎます。

設定手順:

1. ◆レンタルサーバーの管理画面でSSL証明書を発行（Let's Encrypt無料証明書が多い）
2. ◆WordPress管理画面 →「設定」→「一般」→ URLをhttps://に変更 3.「Really Simple SSL」プラグインで混在コンテンツを自動修正

GoogleはHTTPSをランキングシグナルとして使用しているため、SEO対策としても必須です。

対策8: データベースのテーブル接頭辞を変更する

デフォルトのテーブル接頭辞wp_はSQLインジェクション攻撃で利用されることがあります。

新規インストール時: インストール画面でwp_をxk7a_などランダムな文字列に変更

既存サイト:「Brozzme DB Prefix」プラグインで変更可能。必ずバックアップを取ってから実行してください。

対策9: 自動バックアップを設定する

万が一ハッキングされても、バックアップがあれば復旧できます。セキュリティ対策の最後の砦です。

UpdraftPlusの設定手順: 1.「UpdraftPlus」プラグインをインストール・有効化 2.「設定」→「UpdraftPlus Backups」→「設定」タブ 3. スケジュール設定:

• ◆データベース: 毎日バックアップ
• ◆ファイル: 毎週バックアップ

1. ◆保存先: Google Drive、Dropbox、Amazon S3 のいずれかを選択
2. ◆保持世代数: 最低7日分

対策10: xmlrpc.phpを無効化する

xmlrpc.phpはWordPressの古いリモートアクセス機能です。現在ほとんどのサイトで不要ですが、DDoS攻撃やブルートフォース攻撃に悪用されることがあります。

「Disable XML-RPC」プラグインをインストールするだけで対応できます。または.htaccessにFiles xmlrpc.phpのDeny from allルールを追記する方法もあります。

WordPressセキュリティチェックリスト

すべての対策を実施したか、以下のチェックリストで確認しましょう。

• ◆Wordfenceセキュリティプラグインを導入した
• ◆二段階認証（2FA）を設定した
• ◆ログインURLをデフォルトから変更した
• ◆ログイン試行回数を制限した（5回で30分ロック）
• ◆管理者ユーザー名を「admin」以外に変更した
• ◆WordPress・プラグイン・テーマを最新版にした
• ◆SSL証明書（HTTPS）を設定した
• ◆データベースのテーブル接頭辞を変更した
• ◆自動バックアップを設定した（UpdraftPlus推奨）
• ◆xmlrpc.phpを無効化した

よくある質問（FAQ）

Q. 無料のセキュリティプラグインで十分ですか？

はい、個人サイトや中小規模のサイトであればWordfenceの無料版で十分です。有料版はリアルタイムのファイアウォールルール更新や優先サポートが付きますが、無料版でも主要な機能はすべて使えます。

Q. セキュリティプラグインを複数入れた方が安全ですか？

いいえ、セキュリティプラグインの複数導入は推奨しません。プラグイン同士が干渉して不具合を起こしたり、サイトが重くなる原因になります。1つのプラグイン（Wordfence推奨）に絞りましょう。

Q. ハッキングされたかどうか、どうやって確認しますか？

以下の兆候があれば、ハッキングの可能性があります:

• ◆Wordfenceのスキャンで警告が表示された
• ◆身に覚えのない管理者ユーザーが追加されている
• ◆サイトが別のURLにリダイレクトされる
• ◆Googleの検索結果に「このサイトは危険です」と表示される
• ◆サーバーの使用容量が急増している

Q. レンタルサーバーのWAFだけでは不十分ですか？

レンタルサーバーのWAFは基本的な防御を提供しますが、WordPress特有の攻撃パターンには対応しきれない場合があります。Wordfenceなど、WordPress専用のセキュリティプラグインと併用するのがベストです。

Q. セキュリティ対策はどのくらいの頻度で見直すべきですか？

月1回のチェックを推奨します。Wordfenceのスキャン実行、プラグイン・テーマの更新確認、バックアップの動作確認を月次ルーティンにしましょう。

まとめ: WordPressセキュリティは「予防」が最重要

WordPressのセキュリティ対策は、一度設定すれば終わりではなく継続的なメンテナンスが必要です。しかし、この記事で紹介した10の対策を実施すれば、ハッキング被害のリスクを95%以上低減できます。

まずは今日、Wordfenceの導入と自動バックアップの設定から始めてください。この2つだけでもセキュリティレベルは劇的に向上します。