WordPressサイトのハッキング予防策12選！原因や兆候、復旧方法も解説

自分のWordPressサイトが知らない間にハッキングされているかも・・・。

考えたくないことですが、WordPressでサイトを構築する以上、想定しておくべき事態の一つでもあります。

ハッキングを完全に防ぐということは、ほぼ不可能です。
WordPress本体のアップデートやセキュリティ対策を強化してもハッキングされる可能性は0にはなりません。

重要なのは、いかに早くハッキングされたという事態に気づくことができるか。
ハッキングに気づくのが遅れれば、それだけ情報漏洩などのリスクが高まり、あなたのサイトを通してフィッシングなどの被害に遭うユーザーが増える可能性があります。

一方で、安心してサイト運営を続けるためには、十分なハッキング対策も必要です。

今回はWordPressサイトとハッキングについて、次の内容を解説します。

• WordPressサイトがハッキングされる原因
• WordPressサイトがハッキングを受けた時の被害
• WordPressサイトがハッキングされた時の兆候
• WordPressサイトがハッキングされた時の復旧方法
• WordPressサイトのハッキング予防策

WordPressサイトの運営者はもちろん、これから新しくWordPressサイトの立ち上げを考えている方も、ぜひ参考にしてください。

WordPressサイトがハッキングされる原因

そもそもなぜ、WordPressサイトがハッキングされるという事態が起こってしまうのでしょうか？

まずはWordPressサイトがハッキングされる原因について解説していきます。

原因を知ることで、「なぜその予防策が必要なのか」を納得しやすくなりますのでご一読ください。

WordPress・テーマ・プラグインのバージョンが古い

WordPressサイトがハッキングされる原因として、特に多いものの1つが「古いバージョンを使っている」ことです。

ハッカーは常に、OSやソフトウェアの脆弱性を突こうとしています。ハッキングの手法も日々進化し、巧妙になっていおり、従来のセキュリティを新たな攻撃手段で破る方法を編み出してきます。特にWordPressのようにソースコードが公開されており、さらにシェアもトップクラスであれば、一つの脆弱性を見つけるだけで数多くのWebサイトへの攻撃を成功させることができます。

しかし、ハッカー側で新たな脆弱性を発見されれば、すぐさまそれに対する対抗措置が取られます。
それが、WordPress・テーマ・プラグインのバージョンアップです。

実は、自ら新たな脆弱性を発見できる技術力を持つハッカーはごく少数。多くのハッカーは事前に発見された脆弱性の情報を参考に攻撃を行っています。

そのため、多くの場合、脆弱性発見の報告と同時に発表されるセキュリティに関するアップデートを適用しておけば、攻撃を受ける可能性を大きく下げることができるのです。

逆に古いバージョンを使い続けることは、泥棒に対して「いつでも入ってきていいよ」と家の玄関ドアを開放しているようなものですので、面倒ではありますが、WordPress、テーマ、プラグインのいずれも、常に最新バージョンの使用を心がけましょう。

推測されやすいパスワードを使用している

もう1つ、よくあるハッキングの原因としては、「第三者に推測されやすいパスワードを使用している」ことが挙げられます。

社名をローマ字変換したものや会社の設立年月日、個人であれば生年月日などは、推測されやすいパスワードの一例です。また、最近では登録自体ができないよう対策されていることもありますが、数字を羅列しただけのパスワードも簡単に破られてしまいます。

他には、同じパスワードをいくつものサービスで使い回していると、ハッキングされる危険性が高まります。
パスワードは推測されにくいものを使用し、できる限り使い回しも避けましょう。

脆弱性のあるテーマ、プラグインを使用している

「バージョンが古い」に似ていますが、こちらはそもそもテーマ、プラグイン自体に脆弱性が存在したというケースです。

WordPressでは、個人・法人、プロ・アマチュアを問わず、開発したテーマやプラグインを公開することができます。

そのため、知識・技術的に未熟な開発者が作成したプラグインが存在しています。そうしたテーマやプラグインを使用していると、開発者も予期していない脆弱性からハッキングされてしまう可能性があります。

テーマやプラグインをインストールする時は、提供元が個人か法人か、あるいは最新の更新頻度やインストール数、評判などをチェックし、信頼できるものを選ぶことが大切です。

セキュリティ対策が不十分

この他にも、基本的なセキュリティ対策が不十分でハッキングを受けることも。

例えば「不正ログイン対策が不十分」「セキュリティ対策ソフトを導入していない」「サイトのSSL化をしていない」などの原因で、WordPressがハッキングを受けることが考えられます。

基本的なセキュリティ対策を行うだけでも、ハッキングのリスクは低減できます。
安心してWordPressサイトを運営するため、最低限のセキュリティ対策は実施しましょう。

WordPressサイトがハッキングを受けた時の被害とは

続いて、WordPressサイトがハッキングを受けた場合、どのような被害があるのかを解説していきます。

ハッキングの恐ろしさを知ることで、セキュリティ対策の重要性を再認識しましょう。

ウイルスを埋め込まれる

ウイルスの恐ろしいところは、WordPressサイトの運営者だけではなく、ユーザーにまで危害を加えてしまうリスクがあるところです。

ウイルスにはサイトを訪れたユーザーの個人情報を盗んだり、ユーザーの使用しているPCのデータを破壊したり、様々な損害を与えるものがあります。

こうしたウイルスがWordPressサイトに埋め込まれた結果、ユーザーまで感染してしまうと、WordPressサイトの運営に支障が出るだけでなく、ユーザーからの信用を失うことにもなりかねません。

検索順位が低下する

近年、多くのWordPressサイトはSEOに力を入れて作成・運営されています。

しかし、ハッキングによってユーザーに悪影響があるとGoogleに判断された場合、Googleのブラックリストに登録されてしまい、検索順位が低下する恐れがあります。

もしくは、そもそも検索順位から削除されてしまうことも。

それまでの努力が水の泡となってしまうので、SEOに力を入れているならば、なんとしても避けたい事態と言えます。

サイトの内容を書き換えられる

悪意のあるハッカーにサイトの内容を書き換えられてしまうケースもあります。

具体的には、不要な画像やテキストが加えられたり、リンク先が悪質なサイトに変更されたりします。

「会社など特定のIPからのアクセスした場合、または、WordPressにログインした状態であれば正常な動作をする」といった条件付けがされている場合もあり、発見が遅れてしまう場合も多々あります。

特にWordPressの管理者ユーザーを追加されていたり、権限を奪われてしまっている場合は、ほぼどんな操作も可能となるため、被害が深刻になります。

管理画面にログイン出来なくなる

仮にサイトの内容が書き換えられなくても、管理画面にログインができず、WordPressサイトの更新ができないという事態になることも。

WordPressサイトを乗っ取られた際の復旧方法はありますが、時間と手間がかかります。

サイト自体が正常に動いていたとしても、今後、さらにハッキングが進み、サイト内容を書き換えられる危険性も考慮すると、決して安心できる状況ではありません。

顧客情報や会員情報が流出する

よくニュースで取り上げられている情報漏洩も、ハッキング被害の代表例です。

自社の情報はもちろんのこと、ECサイトなどであれば、ユーザーの個人情報やクレジットカード情報が流出してしまうこともあり、大変危険です。

情報漏洩が起こるとユーザーからの信頼を失う他、損害賠償金も支払わなければならず、企業へのダメージは計り知れないものとなります。

WordPressサイトがハッキングされた時の兆候

ここでは、WordPressサイトがハッキングされた時の兆候を紹介していきます。

もしも以下のような問題が起こっていたらハッキングを疑い、早めの確認・対策を心がけてください。

WordPressサイトがハッキングされた時の復旧方法

では、万が一WordPressサイトがハッキングされてしまった場合、どのようにサイトを復旧すればよいのでしょうか？

手順に沿って解説していきます。

①不要なデータを削除する

まずはWordPressサイトを確認して、不要なデータを削除してください。

具体的には、インストールした覚えのないプラグインや、アップロードした覚えのない画像、不審なテキストなどが該当します。

この時、使用していないテーマやプラグインがあれば、併せて削除しておくと、後の作業が楽になります。

②パソコンのウイルスチェックをする

続いて、パソコンのウイルスチェックを実施します。

WordPressサイトを復旧しても、パソコン自体に問題があれば、再びハッキングされる恐れがあるためです。

ウイルスチェックは市販されているセキュリティソフトを使い、フルスキャンを行うことで可能です。この時、ウイルスが検出されたら早急に除去してください。

③バックアップをとる

パソコンに問題がなかった、または問題が解決したら、WordPressサイトとデータベースのバックアップを取ります。

バックアップを取る際は、プラグインを利用すると便利なのでご活用ください。おすすめは「UpdraftPlus」や「BackWPup」です。

④パスワード、シークレットキーを変更する

続いて、パスワードとシークレットキーを変更してください。そのままにしておくと、再びハッカーにハッキングされる危険性があります。

シークレットキーは、「wp-config.php」のファイル内の値を上書きすることで変更できます。

シークレットキーは「xxxxxx」の部分にランダムな文字列を入力します。以下のキー生成用のサイトにアクセスすると、複雑な文字列を即座に生成してくれるのでおすすめです。

シークレットキー生成用リンク（https://api.wordpress.org/secret-key/1.1/salt/）

⑤異常のある箇所を修正する

WordPressサイト全体で異常箇所がないかを確認し、発見したら修正をします。

異常箇所が多い場合は、データベースからまとめて修正すると簡単です。

ただ、このステップはWordPressの知識がない方には難易度が高くなります。

サイトの構造やハッキングの攻撃手法が異なるため、どうしてもWordPressの知識・技術・経験などが重要となってくるためです。

• どんな状態が正常なのか？
• どんなファイルが存在するのか？
• この異常の原因はどこにありそうか？
• ハッカーはどんな手法を使うことが多いのか？

長年、WordPressに触れていれば、こうしたポイントから異常箇所とその原因を発見・修正しやすくなります。

もし、自分では原因がわからない場合には、素直にプロに相談することをお勧めします。

⑥Googleへ再審査リクエストを送る

最後に、Googleサーチコンソールで問題が出ている場合は、Googleへ再審査リクエストを送ります。

忘れると、検索結果に「このサイトは第三者によってハッキングされている可能性があります」とメッセージが表示され、せっかく復旧したWordPressサイトにユーザーが訪問してくれないという事態になりかねません。

再審査リクエストの手順としては、まずサーチコンソールにWordPressサイトを登録・ログイン。その後、「セキュリティの問題」から再審査をリクエストします。

※実際は青枠内に「審査をリクエスト」のボタンがあります

WordPressサイトのハッキング予防策12選

最後に、WordPressサイトのハッキングリスクを減らす予防策をまとめました。

被害に遭う可能性を少しでも減らすため、以下を参考にできる限りの対策を行って、大事なサイトを守りましょう。

【プロが解説】WordPressのセキュリティ強化対策8つ

1.WordPressを最新の状態にアップデートする

利用しているユーザーが多いWordPressは、脆弱性が見つかるとすぐに狙われてしまいます。

しかし、公式のアナウンスに合わせて常にWordPress・テーマ・プラグインを最新バージョンへとアップデートしていれば、脆弱性を突かれる心配が少なくなります。

WordPress・テーマ・プラグインは常に最新の状態を維持しておくよう、心がけましょう。

2.信頼できるテーマやプラグインを使用する

WordPressのテーマやプラグインは、公式以外だけではなく、一般の方からも提供されています。その中には脆弱性を持つものもあるので、使用するテーマ、プラグインには注意しなければなりません。

以下の点に注意して、テーマやプラグインを選びましょう。

• 開発元が法人である
• 最新のバージョンアップが半年以内である
• インストール数が1万以上ある（プラグインの場合）
• 低評価のレビューが少ない

3.ユーザー名を複雑にする

推測されやすい簡単なユーザー名は、アカウントを乗っ取られるリスクを高めます。

特に、初期設定時のユーザー名である「admin」は、予測されやすいため避けるべきです。ユーザー名は複雑かつ推測されにくいものを使用してください。

ただし、WordPressは既存のユーザー名を変更することができないので、新規ユーザーを追加。新しく管理者権限を与え、その後に既存の管理者ユーザーを削除することで対処します。

また、最初は「投稿者アーカイブ」のページURLにユーザー名が表示されてしまっているので、ユーザー名を複雑にするだけでは意味がありません。ここに表示される名前を、実際のユーザー名とは異なる表示へ変更することも大切です。

4.ログインパスワードを強化する

ユーザー名と同様に、ログインパスワードもできる限り推測されにくいものを使います。

具体的には、ユーザーIDやドメインを含む文字列を避ける、文字数を多くするなどの対策が挙げられます。

また、他のサービスと同じパスワードを使わないような注意も必要です。他のサービスを通してパスワードが漏れた場合、WordPressも被害に遭う可能性が高まります。

5.二段階認証を使用する

二段階認証を導入すると、ログインする際にユーザー名とパスワード以外に、SMSなどを介した本人確認が必要になります。

万が一ユーザー名やパスワードが知られてしまっても、格段にハッキングされにくくなるので、「Two-Factor」や「Jetpack」などのプラグインを使用し、導入することをおすすめします。

二段階認証以外では、画像認証を導入するのも効果的です。

6.ログインページのURLを変更する

WordPressのログインページURLは、初期設定だと以下のものになっています。

• https://ドメイン/wp-login.php/
• https://ドメイン/wp-admin.php/

ドメインさえ分かれば誰でもログインページへ移動できてしまうため、URLを変更することで、ログインページへのアクセスを防ぎましょう。

ログインページのURLを変更するには、「WPS Hide Login」「SiteGuard WP Plugin」「Login rebuilder」などのプラグインを使用することで変更できます。

7.ログインの試行回数を制限する

ハッキング手法の中には、パスワードとして使用できる英数字と記号をすべて組み合わせてみる、「総当たり攻撃（ブルートフォース攻撃）」と呼ばれる方法があります。

総当たり攻撃によるハッキングを防ぐため、ログインの試行回数を制限しましょう。

「Limit Login Attempts Reloaded」などのプラグインでログイン回数の制限が可能です。

8.不要なプラグインは削除する

不要なプラグインがあれば、早めに削除しておきましょう。

使わないプラグインはバージョンアップを行わないことが多く、脆弱性を突かれるリスクが高くなります。

プラグインだけではなくテーマも同様です。削除にあたって、必要なものと不要なものを今一度選別してみてください。

9.サーバー側でアクセス制限をする

WordPressのセキュリティ対策だけではなく、サーバー側のセキュリティ対策もすることで、さらにハッキングのリスクを減らせます。

サーバー側によるアクセス制限には、「独自SSLによる制限」「IPアクセス制限」「ディレクトリアクセス制限」などがあります。

サーバー側のセキュリティ対策を見直し、悪意のあるアクセスを防げるよう設定を変更しましょう。

10.ファイアウォールを設定する

ファイアウォールを設定すると、外部からのアクセスに対し、許可されていない通信がないかをシステムがチェック。不正アクセスであると判断した場合には、管理者へ通報が送られます。

ハッキングの予防策として有効なので、利用していない場合は設定しておきましょう。

11.セキュリティ対策プラグインを導入する

セキュリティ対策プラグインを導入することで、ハッキングはもちろん、それ以外の攻撃からもWordPressサイトを守りやすくなります。

WordPressのセキュリティ対策プラグインは、最低限のセキュリティ対策が可能であり、細かいカスタマイズもできる「SiteGuard WP Plugin」、設定項目が多く包括的なセキュリティ対策ができる「All In One WP Security & Firewall」、不正ログインに対する設定が充実している「iThemes Security」などがおすすめです。

12.WordPress保守サービスを検討する

セキュリティ対策を徹底するのであれば、プロに頼るのが一番です。コストをかけられるのであれば、WordPress保守サービスの利用を検討することもおすすめします。

『wp.support保守サービス』ならば、WordPressサイトの保守・管理から緊急時の対処まで、WordPressのプロフェッショナルが完全サポートします。

これまでに対応してきた案件数は1,000件を突破。お客様からも高い評価をいただいています。

WordPress保守サービスを検討している場合は、ぜひ一度、wp.support保守サービスへご相談ください。

WordPressサイトのトラブル復旧なら「wp.rescue」にお任せ！

WordPressサイトで急なトラブルにあったら、「wp.rescue」にご相談ください！

• 急にサイトに何も表示されなくなった…
• ログインできなくなった…
• 覚えのない不審なページがインデックスされている…
• 不審なユーザーが追加されている…
• リンクが不審なサイトに飛ぶように書き換えられている…
• バージョンアップしたらサイトが崩れてしまった…

「wp.rescue」は、WordPressのプロフェッショナル集団によるWordPressトラブル・ハッキング復旧サービスです。
WordPressサイト運営していて、急なトラブルに遭うことは珍しくありません。

原因や解決法方がわかる場合は問題ありませんが、原因がわからなかったり、ハッキングの可能性がある場合はプロに相談するのが一番です。
wp.rescueでは、様々なサイトのトラブルやハッキング被害を解決してきた経験・ノウハウがあるため、速やかなサイトの復旧が可能です。

トラブル復旧はスピードも重要。wp.rescueなら最短即日での復旧も可能ですので、お困りの場合はまずはお問い合わせフォームから無料相談をしてください。

>> wp.rescueに無料相談する