WordPressの乗っ取りを防ぐには？ログインIDの確認と対策

WordPressのログインID露出とは？

WordPress のログイン ID の露出とは、管理画面へのログインに使うユーザー名が、ホームページの外から分かる状態になっていることです。WordPress は、ホームページの作成や更新に広く使われている仕組み（CMS）で、ユーザー名とパスワードで管理画面に入ります。

大切なのは、ユーザー名が見えるだけで乗っ取られるわけではない、という点です。WordPress の公式のプロジェクトも、ユーザー名やユーザー ID を秘密の情報とは扱っておらず、本人かどうかを確かめるのはパスワードの役目だと説明しています。一方で、ID とパスワードの組み合わせを機械で何度も試す攻撃（総当たり攻撃）では、ID が分かっていれば、残りはパスワードだけになります。鍵穴の場所を知られている状態なので、鍵そのものを強くしておくことが大切です。

この項目は、ガーディアンの無料のホームページ診断では、新・七つの大罪の「大罪-13 WPIDチェック」にあたります。ほかの診断項目の解説は、ホームページ診断の項目解説の一覧から読めます。

乗っ取りを防ぐ4つの守り

ログイン ID を見えにくくすることは、守りの1つにすぎません。次の4つを重ねることで、乗っ取りのおそれを小さくできます。

WordPress の公式の資料でも、総当たり攻撃への備えとして、admin というユーザー名を使わないこと、長く使い回さないパスワード、ログインの試行の制限、管理者への二段階認証が挙げられています。

WordPressが乗っ取られると、何が起きるか

WordPress が乗っ取られると、ホームページの内容を書き換えられたり、見に来た人を別のページへ誘導されたり、問い合わせで受け取った情報を見られたりするおそれがあります。お客様に被害が及ぶと、復旧の費用だけでなく、会社の信用にも影響します。

総当たり攻撃は、機械で自動的に行われるため、会社の規模や知名度に関係なく、ログインの入口があるホームページが広く対象になります。WordPress の公式の資料でも、攻撃が成功しなくても、大量のログインの試行でホームページが重くなることがあるとされています。

パスワードと並んで大切なのが更新です。IPA は2026年7月22日に、WordPress の脆弱性について注意を呼びかけ、悪用が確認されているとして、対象のホームページは直ちに更新するよう案内しています。ログイン ID を守っていても、本体やプラグインの弱点を放置していれば、そこから入られるおそれがあります。

この項目は、問題が起きるまで目に見えないのが特徴です。ふだんはホームページが普通に動いているため、誰がどのアカウントを持っているか、更新がいつ止まったかは、確かめないと分かりません。

自社のホームページで確かめる方法

ここでは、自社の管理画面と、制作・保守の会社への確認で確かめる方法をまとめます。ユーザー名を外から調べる具体的な手順は、攻撃の手順にもなり得るため、この記事では書いていません。外からの見え方は、制作・保守の会社や無料診断で確かめてください。

1. WordPress で作られているかを確かめる
   制作・保守の会社に、自社のホームページが WordPress で作られているかを聞きます。ブログの部分だけ WordPress で作られていることもあるので、全体とあわせて確かめます。
2. 管理画面のユーザーの一覧を見る
   管理画面の「ユーザー」を開き、admin という名前のアカウント、退職した人や制作のときに作ったアカウントが残っていないかを見てください。IPA の資料でも、アカウントの一覧を見直し、必要最低限のもの以外は削除するよう求めています。
3. パスワードの決まりを見直す
   短いパスワードや、ほかのサービスと同じパスワードを使っていないか、1つのアカウントを社内で共有していないかを確かめます。
4. 二段階認証とログインの回数制限を確かめる
   管理者のアカウントに二段階認証が入っているか、ログインの試行回数が制限されているかを、制作・保守の会社に確かめてもらいます。WordPress の本体には二段階認証の機能が入っていないため、プラグインなどで追加する必要があります。
5. 本体とプラグインの更新の状態を見る
   管理画面の「更新」を開き、WordPress の本体、プラグイン、テーマに更新が残っていないかを見ます。あわせて、ユーザー名が外から見える状態かどうかを、制作・保守の会社に確かめてもらいます。

まとめて確かめたい場合は、無料診断で20項目を一度に確かめられます。WordPress のログイン ID のほかに、TLS（SSL）証明書の有効期限など、ホームページの基本となる項目をあわせて確かめられます。

乗っ取られやすくなる、よくある原因

WordPress が乗っ取られやすくなる原因は、大きく分けて4つあります。多くは、作ったときの設定のまま運用していることや、担当の交代のときに引き継ぎが手順に入っていなかったことから起きます。誰かの怠りというより、公開後の管理の役割が決まっていなかったことによるものです。

初めの設定のユーザー名を使い続けている

admin のような分かりやすいユーザー名を使い続けていたり、ログインに使うユーザー名をそのまま記事の投稿者名として表示していたりすると、ID を推測されやすくなります。WordPress の公式の資料でも、admin というユーザー名は使わないよう案内しています。

退職者や制作のときのアカウントが残っている

退職した人、以前の制作会社、テストのために作ったアカウントが、そのまま残っていることがあります。使われていないアカウントは、パスワードも古いままになりやすいものです。IPA の資料でも、開発やテストで使ったアカウントが残っていないかを確かめるよう勧めています。

パスワードが短い、使い回している、共有している

短いパスワードや、ほかのサービスと同じパスワード、1つのアカウントを社内で共有する使い方は、破られたときの影響が大きくなります。共有していると、誰がいつ操作したかも分かりません。二段階認証が入っていなければ、パスワードだけが守りになります。

更新の担当が決まっていない

公開したあと、WordPress の本体やプラグインの更新を誰がするかが決まっていないと、更新が止まったままになります。使っていないプラグインが入ったままのことも少なくありません。WordPress の公式の資料では、本体とプラグインを最新に保ち、使っていないプラグインは削除するよう案内しています。

WordPressの乗っ取りを防ぐ対策（対策は3つ）

乗っ取りへの備えは、アカウントの状態を書き出し、ログインの守りを固め、更新とバックアップを続ける仕組みを持つことで整えられます。ホームページを作り直す必要はありません。対策は、自社でできること、制作会社に頼むこと、仕組みで保つことの3つです。

対策1：アカウントの一覧を作り、不要なものを整理する

最初にすることは、管理画面のユーザーの一覧を表にまとめることです。表の形は「ユーザー／使う人／権限／最後に使った時期／残すか消すか」がおすすめです。退職した人や使っていないアカウントは、記事の投稿者の引き継ぎに注意しながら整理します。管理者の権限は必要な人だけに絞り、1人1つのアカウントにします。

あわせて、パスワードの決まりをつくります。長く、ほかのサービスと同じにしないことを基本に、パスワード管理の道具を使うと、覚える負担が減ります。

目安として、一覧づくりと整理は、担当者1人で1時間ほどです。自社で行えば費用はかかりません。

対策2：ログインの守りを、制作会社に固めてもらう

ログインの守りを固める設定は、制作・保守の会社に頼みます。対策1の表を渡せば、どのアカウントをどうしたいかが一度で伝わります。

頼むことは主に4つあります。1つ目は、admin というユーザー名をやめ、新しい管理者のアカウントに切り替えることです。2つ目に、ログインに使うユーザー名と、記事に表示する名前を分け、外からユーザー名が見える経路を必要な範囲で閉じてもらいます。3つ目は、ログインの試行回数の制限を入れることです。4つ目に、管理者のアカウントに二段階認証を入れてもらいます。WordPress の本体には入っていない機能なので、プラグインなどでの追加になります。

費用と手間は、ホームページの作りや使っているプラグインによって変わります。まず今の状態を確かめてもらい、作業の範囲と費用を相談するのが確実です。

対策3：更新とバックアップを、続けられる形にする

一度固めても、更新が止まれば弱点は増えていきます。続けるためのポイントは3つです。

1つ目は、WordPress の本体、プラグイン、テーマの更新を誰がいつ行うかを決めることです。IPA は、環境や設定によっては自動更新が有効になっていない、またはうまく動いていない可能性があるとして、管理画面で更新されているかを確かめるよう案内しています。2つ目は、定期的にバックアップを取り、万一のときに戻せるようにしておくことです。WordPress の公式の資料でも、定期的なバックアップを勧めています。3つ目は、四半期に1回など決まった時期に、対策1の表を見直すことです。人の出入りがあったときは、その都度アカウントを整理します。

制作会社に頼むときの伝え方

制作・保守の会社に頼むときは、対策1の表を添えて、「今の状態を確かめ、ログインの守りを固めたい」と伝えると、確認が一度で済みます。初めの設定のまま運用されているのは、公開後の管理の役割が決まっていなかったことで起きやすいだけなので、頼めば直せる部分です。誰が悪いかではなく、これからの更新と管理の分担を一緒に決めることを優先しましょう。

そのまま使える依頼文の例です。

あわせて、次の点を確かめてもらうと、作業の範囲と費用の見通しが立ちます。

• WordPress の本体・プラグイン・テーマの今の版と、更新が止まっているもの
• 使っていないプラグイン・テーマの有無
• ログインに使うユーザー名が、外から見える状態になっているか
• ログインの試行回数の制限と、二段階認証の入れ方
• バックアップの取り方と、戻すときの手順

あわせて確かめたい項目

WordPress のログイン ID は、ホームページを攻撃や改ざんから守るための項目（サイト防御力）の1つです。守りに関わる、次の項目もあわせて確かめておくと安心です。

• TLS（SSL）証明書の有効期限：通信を守る証明書の期限が切れていないか。
• Mixed Content（混在コンテンツ）：https のページの中に、http で読み込む画像などが混ざっていないか。
• 機密ファイルの露出：設定ファイルやバックアップなど、公開してはいけないファイルが外から見えていないか。
• クリックジャッキング対策：ページを別のページに重ねて悪用されない設定になっているか。

診断の項目ごとの解説は、ホームページ診断の項目解説の一覧から読めます。

よくある質問

まとめ

• WordPress のログイン ID の露出とは、ログインに使うユーザー名が外から分かる状態になっていることです。
• ユーザー名が見えるだけで乗っ取られるわけではありませんが、総当たり攻撃の手がかりにはなります。
• ログイン ID、パスワード、二段階認証と回数制限、本体とプラグインの更新の4つを重ねて守ります。
• 管理画面のユーザーの一覧と更新の状態を自社で見て、外からの見え方は制作・保守の会社に確かめてもらいます。
• アカウントは自社で整理し、ログインの守りは制作・保守の会社に固めてもらい、更新の担当を決めて続けます。

ログインの守りは、問題が起きるまで目に見えない項目です。中小企業のホームページを制作し、公開後の運用と改善まで支える株式会社ガーディアンでは、WordPress のログイン ID を含むホームページの基本の項目を確かめる無料のホームページ診断を用意しています。