WordPressの不正アクセス対策｜調査と予防の手順

WordPressの不正アクセスは、古い部品・弱いログイン・使っていない管理者アカウントの3つから入られるのが基本です。

疑いがあるときは、サイトを触る前にログを保存し、管理画面のユーザー一覧に見覚えのない管理者がいないかを確認します。

予防の設定よりも先に、「疑ったとき、どこを見て、何を判断するか」を手順にして解説します。

出典はIPA（情報処理推進機構）の注意喚起とWordPress公式のセキュリティ解説です。

個人データの扱いは、個人情報保護委員会の案内に沿っています。

WordPressの不正アクセスが起きる3つの入口

不正アクセスの入口は、ソフトウェアの脆弱性・ログインの突破・管理者権限の乗っ取りの3つに分けられます。

IPAの「情報セキュリティ10大脅威2025」では、組織向けの3位が「システムの脆弱性を突いた攻撃」でした。

WordPressはプラグインとテーマを足して使う仕組みなので、本体のほかに更新すべき部品が複数あります。

入口	起きること	最初に見る場所
脆弱性	古い本体・プラグイン・テーマの欠陥から侵入される	管理画面の「更新」ページ
ログインの突破	推測しやすいパスワードを総当たりで試される	アクセスログのwp-login.phpへのPOST
管理者権限	退職者や外注先のアカウントが残り、悪用される	「ユーザー」の一覧

被害として現れるのは、サイトの改ざん・訪問者を別サイトへ飛ばす細工・問い合わせ情報の流出・サーバーの踏み台化などです。

見た目が変わらないまま裏で動くものも多く、表示が正常でも安全とは言い切れません。

画面の見た目ではなく、ログとユーザー一覧という記録で確かめます。

次の章で疑ったときの調べ方を順に説明します。

不正アクセスを疑ったら最初の1日でやる6つの調査

調査はログの保存・ユーザーの確認・ファイルの確認の順に、サイトを直す前に進めます。

先に直してしまうと、侵入の証拠と原因の手がかりが消えるためです。

1. レンタルサーバーの管理画面からアクセスログとエラーログをダウンロードして保存します。
2. WordPressの管理画面で「ユーザー」を開き、権限が「管理者」のアカウントを全部確認します。
3. 作成した覚えのないアカウントと、退職者や過去の外注先のアカウントを控えます。
4. 投稿と固定ページの一覧で、身に覚えのない記事や、更新日時が不自然なページを探します。
5. サーバーのファイル管理で、wp-content/uploadsの中に.phpのファイルがないかを見ます。
6. 見つけたものはその場で消さず、画面の写真と一緒に記録します。

uploadsフォルダは通常、画像などのメディアが入る場所です。

そこに.phpのファイルがあれば、外から置かれた可能性を疑います。

IPAは2026年10月9日の注意喚起で、ログの確認を直近1か月から始め、段階的に約3か月まで広げるよう示しています。

アクセスログでは、同じ接続元から短時間にwp-login.phpへ何度もPOSTが来ていないか、ふだん使わない時間帯にログインが成功していないかを見ます。

見る場所	見ること	異常のサイン
アクセスログ	wp-login.phpへのPOSTの回数と接続元	同じ接続元から短時間に何十回もある
ユーザー一覧	管理者の人数と登録日	覚えのない管理者・退職者の残り
uploadsフォルダ	ファイルの種類	画像以外の.phpがある
固定ページ・投稿	本文とリンク先	書いた覚えのない外部リンク

ログが取れない契約のサーバーもあります。

その場合は「異常なし」と判断せず、取得できなかった期間をそのまま記録しておきます。

見つかったときの4つの分かれ目と連絡先

見覚えのない管理者・不審なファイル・改ざんのどれかが見つかったら、自分で直さずにインシデントとして扱います。

IPAの注意喚起も、異常なログやアカウントを見つけたら、専門のセキュリティ事業者への詳細調査の依頼を強く推奨しています。

確認できた状態	まずやること	次にやること
ログインの失敗が多いだけで、ログイン成功の形跡はない	該当の接続元を遮断し、パスワードを変更する	ログイン制限と二段階認証を入れる
覚えのない管理者アカウントがある	全管理者のパスワードを変更し、そのアカウントを控えたうえで無効にする	サーバー会社とWeb制作会社に連絡する
改ざん・不審なファイルがある	公開を止めるか、閲覧を制限する	専門事業者に調査を依頼し、侵入前のバックアップで復旧する
問い合わせ情報などの個人データが流出した可能性がある	流出した可能性のある範囲を整理する	個人情報保護委員会への報告が必要かを確認する

個人情報保護委員会の案内では、不正の目的で行われたおそれのある漏えいは報告の対象です。

期限は発覚から3〜5日以内の速報と、60日以内の確報とされています。

個人データが入っているサイトで不正アクセスを確認したら、報告が必要かの判断を、最初の1日で専門家とともに進めます。

サイトの管理会社が不明な場合は、契約しているレンタルサーバー会社のサポートに状況を伝えるところから始められます。

予防の7手順｜WordPress公式が示す設定

予防の基本はWordPress公式が示している更新・パスワード・不要物の削除・管理画面からの編集禁止です。

設定はどれも管理画面かファイルの1行で済みます。

1. 管理画面の「ダッシュボード」→「更新」で、本体・プラグイン・テーマに更新がないかを確認します。
2. 古い版は修正を受け取れなくなるため、公式は常に最新を保つよう案内しています。
3. 使っていないプラグインは、無効化ではなく「削除」します。
4. 管理者のユーザー名は「admin」や「webmaster」のような推測されやすい名前にしません。
5. パスワードには社名・サイト名・辞書にある語を使わず、文字の種類を混ぜます。
6. 二段階認証を有効にします。
7. wp-config.phpに次の1行を足し、管理画面からのテーマ・プラグイン編集を無効にします。

define( ‘DISALLOW_FILE_EDIT’, true );

この設定が防ぐのは、ログインされた後に管理画面からPHPを書き換える攻撃です。

ただしファイルのアップロード経由の攻撃までは止められないと、公式も注意書きをしています。

wp-config.phpのファイル権限は、サーバー側で400か440にして、本人とウェブサーバーだけが読めるようにするのが公式の案内です。

WordPress本体は、wordpress.org以外の場所から入手しないようにします。

防げなかったときに備えるバックアップ4項目

バックアップは、サイトのファイルとデータベースの両方を、サーバーとは別の場所に定期的に保存しておく必要があります。

WordPress公式も、侵入に気づくのが遅れた場合に備えて、侵入前の状態のコピーを信頼できる場所に持つよう勧めています。

項目	確認すること
対象	ファイル一式とデータベースの両方か
保存先	サーバーの外（別のクラウドなど）にもあるか
世代	何日前まで戻せるか。侵入に気づくまでの期間より長いか
復元	実際に別の場所で復元できたことがあるか

バックアップを取っているつもりで保存先が同じサーバーの中だけだった、という状況がよくあります。

サーバーごと侵入されると、同じ場所のバックアップも一緒に書き換えられたり消されたりします。

世代の数も事前に決めておく項目です。

侵入から発覚までに2週間かかったのに、バックアップが直近3日分しかなければ、侵入前の状態には戻せません。

サーバー会社の自動バックアップは保存日数が契約によって違うため、契約内容のページで日数を確認します。

復元は取っただけでは確認になりません。

テスト用の場所で一度戻してみて、画面が表示され、管理画面に入れるところまでを確かめておきます。

よくある失敗3つと直し方

不正アクセスの相談で多いのは、攻撃の巧妙さよりも、更新や削除を後回しにした結果の侵入です。

次の3つが現場で繰り返し見られる形です。

プラグインを無効化しただけで放置する

使わなくなったプラグインを無効にして、フォルダを残したままにする形です。

WordPress公式は、使っていないプラグインは削除するよう案内しています。

「プラグイン」の一覧で、無効のものを「削除」し、更新が止まっているものは代わりを探します。

退職者や外注先のアカウントが残っている

制作を依頼した会社や、辞めた担当者の管理者アカウントが、そのまま有効になっている形です。

IPAの注意喚起も、削除したはずのアカウントが有効になっていないかの点検を求めています。

「ユーザー」の一覧を半年に1回見直し、使っていない管理者は削除するか権限を下げます。

更新前のバックアップがなくて更新を止める

更新で表示が崩れるのが怖く、何か月も更新を止めてしまう形です。

サーバーのバックアップ機能で戻せる状態にしてから更新すれば、崩れても戻せます。

更新ができない理由が、使っているプラグインの古さにあるなら、そのプラグインを置き換える相談をします。

よくある質問

Q1. WordPressに不正アクセスされたかどうかは、どこでわかりますか？

A1. 管理画面の「ユーザー」に見覚えのない管理者がいるか、サーバーのアクセスログに不審なログイン成功があるかで確認できます。

表示が正常でも侵入されていることがあるため、見た目だけで判断しません。

IPAは直近1か月のログから確認を始めるよう示しています。

Q2. セキュリティプラグインを入れれば、不正アクセスは防げますか？

A2. 侵入されるリスクを下げる助けにはなりますが、入れただけで防げるとは言えません。

更新・削除・パスワード・バックアップが整っていないと、プラグイン自体も古い部品の1つになります。

Q3. 不正アクセスを受けたら、サイトは止めるべきですか？

A3. 改ざんや不審なファイルが見つかったときは、公開を止めるか閲覧を制限して、被害の拡大を防ぎます。

止める前にログを保存しておくと、原因の調査に使えます。

判断に迷うときは、サーバー会社と専門事業者に先に連絡します。

cantikでは、アカウントの棚卸しやバックアップの確認を含むWordPressサイトのご相談を、ZOOM・電話・メールで受け付けています。

▶ 関連サービス：ホームページ・LP・ECサイト制作