日々、「画面が真っ白になった」「身に覚えのない英語の記事が大量投稿されている」「サイトにアクセスできない」といったSOSをいただきます。
厳しい現実をお伝えすると、ご相談いただくトラブルの多くは、事前のセキュリティ対策で防げたものです。
WordPressは世界で最も使われているシステムであるがゆえに、ハッカーの標的になりやすい宿命にあります。
「自分のサイトは個人ブログだから狙われない」は大間違いです。攻撃者（ボット）は無差別に、セキュリティの穴（脆弱性）があるサイトを探しています。
被害に遭うサイトには明確な共通点があります。それは、「基本的な守りが、ほんの少しだけ疎かになっていた」ということです。
今回は、絶対にこれだけはやってほしい」本質的なセキュリティ対策を整理してお伝えします。
1. ユーザー名とパスワード：基本中の基本、できていますか？
基本ですが、意外とできていないのがこれです。
- ユーザー名が
adminになっていませんか？ - パスワードは使い回しではありませんか？
- ブログ上の表示名とユーザー名（ログインID）が同じになっていませんか？
特にユーザー名 admin は、「鍵穴の場所を教えている」ようなものです。攻撃者はまず admin でログインを試みます。
もし現在のユーザー名が admin なら、すぐに新規ユーザー（管理者権限）を作成し、古い admin ユーザーは削除しましょう。
また、ブログ上の表示名は「ニックネーム」に設定し、ログインIDが表面に出ないように徹底してください。
- ユーザーのプロフィール設定で「ニックネーム」を設定する。
- 「ブログ上の表示名」をそのニックネームに変更する。
2. 「複雑なパスワード」と「二段階認証」が最強の防壁
ログインURLを変更する対策もありますが、それは「家の場所を隠す」ようなもの。しかし、住所録（DNSやIP）を辿れば家は見つかります。本質的な解決にはなりません。
本当に大切なのは、家が見つかったとしても**「ピッキングできない最強の鍵（複雑なパスワード）」をかけ、「チェーンロック（二段階認証）」をし、「勝手口（REST API）」**もしっかり施錠しておくことです。
認証周りの甘さを突く攻撃が本当に多いのです。ぜひ見直してください。
ログインURLを変える暇があったら、まず二段階認証を導入してください。
パスワードに加えて「スマホアプリに表示されるワンタイムコード」などがなければログインできない仕組みです。これさえ設定しておけば、万が一パスワードがハッカーの手に渡っても、あなたのスマホが手元にない限りログインされることはありません。
パスワードも「自分なら忘れないような単語の組み合わせ」や「8桁程度の英数字」では、今のマシンスペックの前では数秒〜数分で突破されてしまいます。
- パスワードの複雑さ： 12〜16桁以上、完全にランダムな英数字・記号を使いましょう。人間が覚えようとするのではなく、パスワードマネージャーを活用してください。
- 二段階認証（2FA）の導入： 万が一パスワードが漏れても、スマホの認証がなければログインできない仕組みです。これを導入するだけで、乗っ取りのリスクは極限まで下がります。
3. 見落としがちな裏口「REST API」の管理
WordPressには、外部アプリと連携するための「REST API」という機能が標準で備わっています。
便利な機能ですが、デフォルトの状態だと**「誰でもユーザー情報（投稿者名など）を取得できる」**というリスクがあります。
例えば、特定のURL（/wp-json/wp/v2/usersなど）にアクセスするだけで、管理者権限を持つユーザーID（ログインID）が丸見えになってしまうことがあるのです。
IDがバレてしまえば、あとはパスワードを総当たりするだけ。
せっかく admin を消して複雑なパスワードにしても、IDを特定されては攻撃者にとって難易度が下がってしまいます。
セキュリティプラグインなどを使用して、不要なREST APIの呼び出しを制限し、外部に情報を漏らさない工夫をしましょう。
- 外部連携を使っていないなら、REST APIを無効化、あるいは制限する。
- セキュリティ系プラグインの設定で「REST APIの無効化（Disable REST API）」等の項目をオンにする。
4. 本体・テーマ・プラグインの「更新」と「整理」
ハッキング被害の入り口として最も多いのが、古いプラグインやテーマの脆弱性です。
- 常に最新版へ： 更新通知が来たらすぐにアップデートしましょう。
- 不要なものは削除： 「無効化」しているだけでは不十分です。使っていないプラグインやテーマは、ファイルごとサーバーから「削除」してください。ファイルが存在するだけで攻撃の足がかりにされる可能性があります。
5. 転ばぬ先の杖、「自動バックアップ」は必須
どれだけ対策をしても、リスクをゼロにすることはできません。万が一、攻撃を受けてサイトが壊れてしまったとき、あなたのサイトを救う唯一の命綱が「バックアップ」です。
私が依頼を受ける中で最も胸が痛むのは、「ハッキングされてデータが消えたが、バックアップがない」というケースです。こうなると復旧は困難を極め、最悪の場合はすべてを失います。
- UpdraftPlus などのプラグインを活用する。
- サーバー会社の自動バックアップ機能を確認する。
必ず、自分の手元（またはクラウド）に**「定期的・自動的」**にバックアップが残る体制を、今この瞬間に作ってください。
まとめ：被害に遭ってからでは遅い
セキュリティ対策は、売上に直結しないため後回しにされがちです。しかし、一度被害に遭えば、読者からの信用を失い、復旧には多額の費用がかかります。
adminユーザーの廃止と表示名の分離- 複雑なパスワードと二段階認証
- REST APIの制限
- 小まめな更新と不要ファイルの削除
- 自動バックアップの確立
これらは、いわば「Webの世界で生き残るための手段」です。 もし、設定に不安がある、あるいは既に怪しい挙動があるという場合は、手遅れになる前にぜひご相談ください。
あなたのサイトを守れるのは、運営者であるあなただけです。