WordPress改ざんを防ぐ9つのセキュリティ対策｜被害事例から学ぶ具体的な設定方法

「まさか自分のサイトが改ざんされるとは思っていなかった」──これは復旧依頼を受けたサイトオーナーが口を揃えて言う言葉です。

改ざんは偶然起こるものではありません。具体的な侵入経路があり、その経路を塞ぐ対策を取っていれば防げます。20年以上のITエンジニア経験と500件超のWordPress復旧実績から、実際の被害事例を交えて9つの対策を解説します。

実際の改ざん被害事例｜どんな手口で狙われるのか

改ざん対策を正しく理解するには、実際にどんな手口で攻撃されているかを知ることが重要です。よくある3つのケースを紹介します。

事例①：古いプラグインの脆弱性を突いたSEOスパム

問い合わせページのフォームプラグインに脆弱性が発見されたにもかかわらず、1年以上更新していなかった飲食店のサイトが被害にあいました。

攻撃者はその脆弱性を使ってサーバーに侵入し、各ページのfooterに海外サイトへの大量リンクを隠し挿入しました。サイトの見た目は変わらなかったため、オーナーは3ヶ月間気づかなかったのです。その間、Googleのクローラーは「スパムサイト」と判断し、検索順位が壊滅的に下落しました。

事例②：ブルートフォース攻撃で管理者パスワードを突破

「admin」というユーザー名に「pass1234」というパスワードを設定していた個人ブログが狙われました。ブルートフォース攻撃（自動的にパスワードを総当たりで試す攻撃）で1時間以内にログインされ、トップページにアダルトサイトへのリダイレクトを仕込まれました。

特にユーザー名が「admin」のサイトは最初に狙われます。WordPressのデフォルト設定のまま放置することが最大の危険要因です。

事例③：FTPパスワード漏洩によるバックドア設置

フリーWi-Fiでの作業中に通信を傍受され、FTPのパスワードが漏洩したと考えられるケースです。wp-content/uploads/ 内に「update.php」という名前のバックドアファイルが設置されていました。

このファイルは見た目には存在していないように見せかけており、定期的にWordPressのコアファイルを改ざんする処理を実行していました。バックドアを除去しなければ何度でも再感染します。

WordPressをマルウェアから守る完全ガイド｜感染の兆候・よくあるファイル名・駆除方法を徹底解説

WordPress改ざんを防ぐ9つの対策

実際の被害事例から学んだ侵入経路を塞ぐ9つの対策です。難易度の低いものから順に実施することをおすすめします。

対策1：ログインURLを変更する

WordPressのデフォルトログインURL（/wp-login.php）は世界中の攻撃ボットが知っています。URLを変更するだけで、自動攻撃の9割以上を防げます。これが最もコストパフォーマンスの高い対策です。

クイックレスキュー365をインストールすれば、プラグインの設定画面からワンクリックでログインURLを変更できます。

対策2：管理者ユーザー名を「admin」以外に変更する

ブルートフォース攻撃は「ユーザー名 + パスワード」の組み合わせを総当たりで試します。ユーザー名が「admin」のままだと、パスワードだけ突破すればよいため、攻撃が半分成功した状態です。

変更手順はWordPressに「admin」以外の新しいユーザーを管理者権限で作成し、そのアカウントでログインしてから「admin」ユーザーを削除してください。

# 新しい管理者ユーザーを作成
wp user create newadmin newadmin@example.com --role=administrator

# 旧adminユーザーを削除（投稿は新ユーザーに移管）
wp user delete admin --reassign=2

対策3：強力なパスワードを設定する

12文字以上の大文字・小文字・数字・記号を混在させたパスワードが理想です。パスワードマネージャー（1Password、Bitwardenなど）を使えば管理も楽になります。

対策4：XMLRPC機能を無効化する

XMLRPCはWordPressの遠隔操作用API。攻撃者はこれを使って1回のリクエストで何万回ものログイン試行を行います（マルチコール攻撃）。使っていなければ完全に無効化するのが正解です。

クイックレスキュー365のXMLRPC遮断機能を使うか、.htaccessに以下を追記します。

# XMLRPC.phpへのアクセスをすべて拒否
<Files xmlrpc.php>
  order allow,deny
  deny from all
</Files>

対策5：プラグイン・テーマ・WordPress本体を常に最新版に保つ

脆弱性の多くは既知のものです。つまり「更新さえしていれば防げた」ケースが大半です。WordPressの管理画面で「自動更新」を有効にするか、週1回は更新状況を確認する習慣をつけてください。

使っていないプラグインは「無効化」ではなく「削除」してください。無効化されていても脆弱性は残ります。

対策6：ユーザー名の漏洩を防ぐ

WordPressはデフォルトで `?author=1` というURLにアクセスすると管理者のユーザー名が表示される設定になっています。攻撃者はこれでユーザー名を事前に把握してからブルートフォース攻撃を行います。

// author クエリでのユーザー名漏洩を防ぐ
add_action('init', function() {
    if (preg_match('/author=([0-9]*)/i', $_SERVER['QUERY_STRING'])) {
        wp_redirect(home_url());
        exit;
    }
});

クイックレスキュー365の「ユーザー名漏えい防御」機能を使えばコードを書かずに設定できます。

対策7：UploadsフォルダでのPHP実行を禁止する

wp-content/uploads/ フォルダは本来画像ファイルを置く場所です。しかし攻撃者はここにPHPのバックドアファイルを設置して実行しようとします。.htaccessでPHPの実行を禁止すれば、この攻撃を防げます。

# uploadsフォルダ内のPHPファイル実行を禁止
<Files *.php>
  deny from all
</Files>

このファイルを `wp-content/uploads/` フォルダ内に作成してください。クイックレスキュー365はこの設定も自動で行います。

WordPressの安全性を高める.htaccess設定12選｜コピー＆ペーストで使える実践例

対策8：ログインエラーメッセージを統一する

WordPressのデフォルトでは、ログイン失敗時に「ユーザー名が間違っています」「パスワードが間違っています」と具体的なエラーメッセージを表示します。これは攻撃者に「ユーザー名は合っている」というヒントを与えてしまいます。

メッセージを「ユーザー名またはパスワードが間違っています」に統一することで、情報漏洩を防ぎます。

// ログインエラーメッセージを統一する
function custom_login_error_message() {
    return 'ユーザー名またはパスワードが間違っています。';
}
add_filter('login_errors', 'custom_login_error_message');

対策9：定期的なバックアップを自動化する

万全の対策をしていても、0%にはなりません。いざ改ざんされた時に「昨日のバックアップがある」という状態を作っておくことが最後の砦です。UpdraftPlusを使えば、自動バックアップをGoogle DriveやDropboxに保存できます。

WordPressのバックアップを自動化する最強の方法｜UpdraftPlus・BackWPup・Ai1WMの使い分けガイド

クイックレスキュー365で対策1〜3・6〜8を一括設定する

上記の対策のうち、対策1（ログインURL変更）・対策2相当（ユーザー名漏えい防御）・対策3相当（ブルートフォースブロック）・対策4（XMLRPC遮断）・対策6（ユーザー名漏えい防御）・対策7（UploadsフォルダPHP実行禁止）・対策8（エラーメッセージ統一）は、クイックレスキュー365をインストールするだけで自動設定されます。

日本製セキュリティ対策で不正アクセスを遮断「クイックレスキュー365」無料ダウンロード

WordPress改ざん対策9選まとめ

改ざん対策は「やっておく安心感」ではなく「やらないリスク」として捉えてください。たった1つの対策（ログインURL変更）でも、大半の自動攻撃を防げます。今日できることから始めましょう。

WordPress改ざんが自分で直せない時は

WordPress保守・不正アクセス対策・マルウェア駆除・WordPressクイックレスキュー365

ワードプレスのWordPressエラートラブル解決をしたいなら
クイックレスキューが解決します。

これらでお悩みなら最短30分ですぐに解決します！

いまなら期間限定で