WordPressサイトが乗っ取られる原因は、実はほとんど同じです。
「ホームページが乗っ取られてしまいました…」
Web制作をしていると、このようなご相談をいただくことがあります。
詳しく調査してみると、原因は意外なほど共通しています。
映画のような高度なハッキングではなく、すでに知られている脆弱性や基本的なセキュリティ対策の不足を狙われているケースがほとんどです。
1. WordPress本体・テーマ・プラグインを更新していない
もっとも多い原因が、アップデートの放置です。
WordPress本体やテーマ、プラグインには、定期的にセキュリティ上の脆弱性が見つかります。そのため、開発元はアップデートで修正を行っています。
しかし、古いバージョンのまま運用していると、その脆弱性がそのまま残った状態になります。
攻撃する側は、古いバージョンのWordPressサイトを自動で探し、既知の脆弱性を利用して侵入を試みます。
つまり、「狙われた」のではなく、「見つけられた」だけというケースも少なくありません。
2. ログイン情報が推測されやすい
管理画面のユーザー名が「admin」のままになっていたり、短く単純なパスワードを使っていたりすると危険です。
現在は、人が手作業でログインを試すのではなく、プログラムによる総当たり攻撃（ブルートフォースアタック）が24時間行われています。
そのため、推測しやすいユーザー名やパスワードは、想像以上に短時間で突破される可能性があります。
長く複雑なパスワードを設定し、可能であれば二段階認証を導入することで、リスクを大きく減らせます。
3. 使っていないプラグインを残している
「今は使っていないけれど、また使うかもしれない。」
そう考えて、無効化しただけのプラグインを残しているサイトは意外と多くあります。
しかし、無効化されていても、脆弱性が存在するプラグインは攻撃対象になることがあります。
不要なプラグインやテーマは、無効化するだけでなく削除しておくことが、安全なWordPress運用につながります。
今日からできるWordPressの基本的なセキュリティ対策
難しい知識がなくても、次の3つを徹底するだけで、乗っ取りのリスクは大きく下げられます。
- WordPress本体・テーマ・プラグインを定期的にアップデートする
- 推測されにくいユーザー名・パスワードを設定し、可能であれば二段階認証を導入する
- 使っていないプラグインやテーマは削除する
これだけでも、多くの攻撃を防ぐことができます。
乗っ取られてからでは遅いこともあります
WordPressサイトが乗っ取られると、サイトが表示されなくなるだけではありません。
不正な広告やフィッシングページが設置されたり、迷惑メールの送信に悪用されたり、Googleなどの検索エンジンから「危険なサイト」と判断されることもあります。
一度評価が下がると、復旧には多くの時間と費用がかかるケースも珍しくありません。
だからこそ、トラブルが起きてから対応するのではなく、日頃から基本的なセキュリティ対策を続けることが大切です。
WordPressのセキュリティは、特別な技術よりも「基本をきちんと続けること」が、もっとも効果的な対策です。