不正アクセス後に変更すべきパスワード一覧｜漏えい経路を残さない順番

不正アクセス後にパスワードを変更する時は、思いついたアカウントから順番に変えてはいけません。
攻撃者が再設定メールや管理画面を操作できる状態なら、新しいパスワードもすぐ奪われるためです。

結論は、証拠を保存し、安全な端末と連絡手段を確保したうえで、メールなどの本人確認基盤から外側の管理権限へ進み、最後にWordPress利用者を更新することです。
パスワード以外のセッション、APIキー、Application Passwords、SSH鍵も同じ漏えい経路として扱います。

よこやま良平

20年以上ITエンジニアとして、WordPressの制作・保守・復旧に携わっている、よこやま良平です。
復旧現場では、強い文字列を作ることより「攻撃者に再設定されない順番」を先に設計します。

現在も被害が進行している時は、完全な調査終了を待たずに侵害アカウントを停止する必要があります。
ただし可能な範囲でログ、通知メール、管理者一覧、セッション状況を先に保存し、誰が何を変更したかを時刻付きで残してください。

【無料プレゼント】
WordPress緊急チェック50

「自分のサイトは今、安全なのか？」
自信を持って答えられますか？

こんなお悩みはありませんか？

• ある朝、サイトを開いたら真っ白画面になっていた
• 管理画面にログインできなくなって手が止まった
• 身に覚えのない記事やページが勝手に増えていた
• プラグインを更新したらサイト全体が崩れてしまった
• 以前バックアップを取ったか自分でも覚えていない

累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。

セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。

今すぐ無料ダウンロードする →

※登録後すぐにメールで特典をお届けします

不正アクセス後のパスワード変更は証拠保存と安全確保から始める

最初の結論は、侵害された可能性のある端末やメールを使い続けたまま変更作業を始めないことです。
攻撃者がキーロガー、ブラウザCookie、メール転送設定を握っていれば、新しい認証情報も同じ経路から失われます。

変更前に現在の状態を短時間で記録する

WordPressのユーザー一覧、ホスティングのログイン履歴、ドメイン・DNSの変更履歴、メールの転送ルール、SFTP・SSH接続履歴を保存します。
画面には確認時刻とタイムゾーンを入れ、可能ならCSVやログ原本も取得してください。

パスワード変更は正当な防御ですが、ログアウト時刻、セッションID、失敗回数などの状態を変えます。
調査前に全アカウントを一括変更すると、侵入経路と攻撃者が使った権限を追いにくくなるため、保存と無効化の順番を記録します。

WordPressハッキング発覚直後の初期対応チェックリスト

安全な端末と連絡経路を用意する

変更作業には、OSとブラウザを更新し、マルウェア確認を終えた端末を使います。
感染が疑われるパソコンしかない場合は、別の管理端末を準備するか、信頼できる専門家の環境から作業してください。

連絡用メールやチャットも見直します。
攻撃者がメールを読める状態では、パスワード再設定URL、二段階認証の通知、サーバー会社からの回答まで取得されるため、管理連絡先の支配権を先に取り戻す必要があります。

変更対象を一覧にして依存関係を可視化する

WordPressだけを変更しても、ホスティングやメールから再設定できれば防御になりません。
アカウント名、用途、管理者、復旧先、二段階認証、連携先、変更担当、確認結果を一つの表にまとめます。

区分 | サービス | アカウント | 復旧先 | 2FA | セッション失効 | キー再発行 | 担当 | 完了時刻
本人確認 | 管理メール | admin@example.jp | 別経路 | 必須 | 済 | 対象外 | 担当A | YYYY-MM-DD HH:MM
基盤 | ホスティング | company-admin | 管理メール | 必須 | 済 | API再発行 | 担当B | YYYY-MM-DD HH:MM
サイト | WordPress | wp-admin | 管理メール | 必須 | 済 | App Password削除 | 担当C | YYYY-MM-DD HH:MM

この表へ新しいパスワードそのものを書いてはいけません。
秘密はパスワードマネージャーなどの保管先へ置き、対応表には変更済みか、担当者、確認時刻、関連する失効処理だけを記録します。

不正アクセス後に変更すべきパスワード一覧

変更対象は、ログイン画面で入力するパスワードだけではありません。
再設定に使うメール、管理コンソール、サーバー接続、データベース、アプリ連携まで含めて初めて、漏えい経路を閉じられます。

本人確認と再設定を支配するアカウント

最優先候補は、管理者メール、組織のメール管理、Google WorkspaceやMicrosoft 365などのID基盤、SSO、パスワードマネージャーです。
ここを奪われると、他サービスのパスワードを何度でも再設定されます。

メールではパスワード変更だけでなく、転送ルール、委任、アプリパスワード、OAuth連携、復旧先メール、電話番号、二段階認証端末を確認します。
見覚えのないルールや端末を削除し、既存セッションを失効させてください。

インターネット上の管理権限を持つアカウント

次に、ドメインレジストラ、DNS、CDN、WAF、ホスティング、クラウド、サーバー管理パネルを変更します。
DNSを操作できる攻撃者は、WordPressが安全でも偽サイトやメールへ通信を向けられます。

ホスティングでは主契約者、追加管理者、APIトークン、サポート用本人確認情報も確認します。
請求アカウントや契約メールが別なら、それらも支配権回復の対象です。

サーバーとデータベースへ直接入る認証情報

SFTP、FTP、SSH、データベース、バックアップ、オブジェクトストレージ、コントロールパネルの資格情報を更新します。
共有FTPアカウントが残っていると、WordPress管理者を変えてもファイルを再改ざんされます。

SSH鍵は「パスワード変更」ではなく、許可済み公開鍵を棚卸しして不明な鍵を削除し、必要な鍵ペアを再発行します。
秘密鍵が漏れた可能性があるなら、同じ鍵を別サーバーでも使っていないか確認してください。

WordPressとサイト利用者のアカウント

WordPressでは、すべての管理者、編集者、投稿者、ショップ管理者、サポート担当、外注先を確認します。
管理者だけでなく、投稿改ざんや個人情報閲覧が可能な役割も対象です。

会員や購入者のパスワード変更は、侵害範囲と影響を調査してから対象を決めます。
全利用者を強制リセットする場合は、正規ドメイン、再設定期限、問い合わせ窓口を案内し、事故通知を装うフィッシングへ注意を促してください。

WordPress乗っ取り判定｜管理者アカウントと権限を確認する方法

不正アクセス後に漏えい経路を残さない変更順番

安全な順番は、再設定を支配する本人確認基盤から始め、外側のインフラ、サーバー、WordPress、利用者へ進むことです。
内側から変更すると、上位アカウントを持つ攻撃者に新しい資格情報を再発行されます。

ステップ1：管理メール・SSO・パスワード保管先を守る

管理メールの新しいパスワードを一意にし、二段階認証を再登録します。
復旧コードを作り直し、見覚えのない端末、セッション、転送、委任、OAuthアプリを無効にします。

組織のID基盤を使う場合は、特権管理者と緊急用アカウントを別に確認してください。
一般利用者のパスワードだけ変えても、全ユーザーを管理できる特権アカウントが残れば再侵害されます。

ステップ2：ドメイン・DNS・ホスティングの支配権を戻す

レジストラロック、移管ロック、DNSSEC、登録者メール、ネームサーバー、DNSレコードを確認します。
見覚えのない管理者やAPIトークンを削除し、全セッションを失効させます。

ホスティングでは契約アカウントを変更した後、サブアカウント、サポート担当、API、FTP、バックアップ共有を確認します。
単一の管理画面パスワード変更だけで完了にしないでください。

ステップ3：サーバー接続とデータベースを計画的に更新する

SFTP・SSH・データベースは、停止影響を確認してから順番に更新します。
WordPressが使うデータベースパスワードを先に変えると接続エラーになるため、新旧の切替手順、wp-config.php更新、動作確認、切り戻しを準備します。

自動バックアップ、監視、デプロイ、CI/CD、保守ツールが同じ資格情報を使っていないかも確認します。
人間のログインだけ直しても、自動処理へ古い秘密が残ると障害や再侵入の原因になります。

ステップ4：WordPressアカウントとセッションを更新する

管理者から順に一意のパスワードへ変更し、不要なユーザーを停止または削除前保全します。
削除する前に投稿者、作成時刻、直近ログイン、メール変更、権限変更を記録してください。

WordPressのログインCookieやセッションを失効させ、必要に応じてSALTキーを更新します。
SALT変更は全ユーザーをログアウトさせるため、担当者への告知と緊急連絡手段を準備して実施します。

WordPressのユーザー権限を間違えると危険？管理者・編集者・投稿者の違い

ステップ5：利用者と外部連携を更新する

会員や顧客に強制再設定が必要なら、侵害の対象期間、情報の種類、パスワードハッシュへの到達可能性、再利用リスクを踏まえて決めます。
対象を限定できない時は、限定できない理由と安全側の範囲を記録します。

決済、フォーム、メール配信、CRM、チャット、分析、バックアップなどのAPIキーやWebhook秘密も再発行します。
旧キーを無効にした後、送信先URL、権限、利用元IP、失敗ログを確認します。

不正アクセス後はパスワード以外の認証情報も無効化する

パスワードだけ変えても、攻撃者が有効なCookie、Application Passwords、APIキー、SSH鍵を持っていれば再ログインできます。
認証手段を種類ごとに洗い出し、「新しくする」と「古いものを無効にする」を一組で実施してください。

既存セッションと信頼済み端末を失効させる

WordPress、メール、ホスティング、クラウド、CDNで「他の端末からログアウト」「全セッションを終了」などの機能を使います。
パスワード変更で自動失効しないサービスもあるため、仕様を確認します。

端末一覧では、名前だけで判断せず、最終利用時刻、IP、地域、ブラウザを確認します。
見覚えのない端末を削除した後も、再び登録されないか監視してください。

二段階認証を再登録し復旧コードを作り直す

二段階認証が設定済みでも、攻撃者が復旧コード、SMS、認証アプリの同期先を持っている可能性があります。
登録済み端末と電話番号を確認し、復旧コードを再生成して旧コードを失効させます。

二段階認証の解除に使うサポート手続きも確認します。
本人確認用のメールや秘密の質問が侵害されていれば、強いパスワードと認証アプリだけでは回復経路が残ります。

Application Passwords・APIキー・OAuthを棚卸しする

WordPress Application Passwordsは通常のログインパスワードとは別にAPI認証へ使われます。
ユーザーごとに発行済み一覧を確認し、用途、作成日、最終利用が説明できないものを失効させます。

REST API、XML-RPC、Webhook、決済、メール配信、バックアップ、デプロイのトークンも対象です。
再発行後は最小権限へ減らし、保存場所を環境変数や秘密管理サービスへ移します。
ソースコードや共有チャットへ平文で残してはいけません。

確認対象:
- WordPressログインセッション
- WordPress Application Passwords
- メールのアプリパスワード / OAuth
- CDN・WAF・ホスティングAPIトークン
- SSH authorized_keys / デプロイ鍵
- 決済・フォーム・CRM・Webhook秘密
- 二段階認証の登録端末 / 復旧コード

各項目で「新規発行」「利用先更新」「旧情報失効」「動作確認」を記録する。

WordPress不正アクセスの症状別診断｜ログイン不能・マルウェア感染の対処法

不正アクセス後のパスワード変更でよくある失敗

失敗の多くは、変更漏れよりも順番と検証不足から起きます。
WordPressだけ変える、同じ端末で全部変える、旧セッションを残す、連携先を確認しない、といった対応は見た目上完了しても支配権を取り戻せません。

感染が疑われる端末から新しいパスワードを入力する

端末がマルウェア感染していれば、新しいパスワード、Cookie、二段階認証コードまで取得される可能性があります。
ブラウザ拡張、保存パスワード、リモート操作ソフト、OSの利用者も確認します。

端末を初期化すべきかは状況によりますが、少なくとも変更作業と端末調査を分離してください。
会社端末なら自己判断で証拠を消さず、管理担当者の手順に従います。

パスワード変更だけでマルウェア除去を終えたと思う

認証情報を変えても、WebShell、不正管理者、改ざんプラグイン、予約タスク、データベース内スクリプトが残れば攻撃者は活動できます。
資格情報の更新と、感染範囲の調査・クリーンな復旧は別工程です。

反対に、ファイルを入れ替えただけで旧APIキーやセッションを残すのも不十分です。
コード、アカウント、認証情報、外部連携を同じインシデントとして確認してください。

不正アクセス後のパスワード変更を検証する方法

変更作業の完了条件は、全項目へ新しい値を設定したことではありません。
旧情報が使えず、正規担当者だけが必要な機能を使え、異常な再ログインが発生していないことを確認して完了です。

WordPressと連携機能の正常動作を確認する

公開ページ、管理画面、投稿保存、画像アップロード、フォーム、メール通知、決済、会員ログイン、バックアップ、監視、デプロイを確認します。
データベースやAPIの変更は、サイト表示だけでは不具合を見つけられません。

テストには実在顧客の個人情報を使わず、専用テストアカウントと最小データを使います。
エラーが出たら旧パスワードへ安易に戻さず、どの連携が古い資格情報を参照しているかを特定してください。

変更後のログを監視して再侵入を検知する

少なくとも変更直後は、失敗ログイン、パスワード再設定、管理者追加、メール変更、プラグイン追加、ファイル更新、API利用、DNS変更を重点監視します。
旧資格情報を使った試行が続く場合は、漏えい経路や攻撃元の手掛かりになります。

クイックレスキュー365にはマルウェアのスキャン機能はありませんが、不正ログインブロック、ログインURL変更、XMLRPC遮断、ユーザー名漏えい防御、IP拒否、uploadsフォルダのPHP動作禁止など、再発防止に使える機能があります。
感染調査が必要な場面では、別途Wordfenceなどのスキャンや専門調査を組み合わせてください。

日本製セキュリティ対策で不正アクセスを遮断「クイックレスキュー365」無料ダウンロード

監視期間中に異常が再発した場合は、同じパスワードをもう一度変えるだけでは足りません。
端末、メール、サーバー、外部連携、マルウェアの残存を再調査し、どの経路から支配権を取り戻されたかを確認します。

プラグイン設定だけでなく、更新・バックアップ・緊急復旧まで継続して任せたい場合は、
保守サービス「クイックレスキュー365」の内容も確認してください。

WordPress・サイト保守クイックレスキュー365

不正アクセス後のパスワード変更でよくある質問

不正アクセス後に変更すべきパスワードと順番まとめ

不正アクセス後のパスワード変更は、WordPress管理者の文字列を入れ替えるだけの作業ではありません。
証拠を保存し、安全な端末を確保し、再設定を支配するメール・SSOから外側の管理基盤へ進むことが重要です。

変更対象には、管理メール、ドメイン、DNS、CDN、ホスティング、SFTP、SSH鍵、データベース、WordPressユーザー、会員、APIキー、Webhook、Application Passwords、二段階認証の復旧コード、既存セッションが含まれます。

順番は「本人確認基盤→ドメイン・ホスティング→サーバー接続→WordPress→利用者・外部連携」が基本です。
停止影響があるデータベースやAPIは、利用先更新と旧情報失効を一組にし、切り戻し手順を準備します。

変更後は、旧情報が使えないことと、正規機能が動くことを両方確認してください。
さらにログを監視し、不審な再設定、管理者追加、転送、API利用が再発しないことを確かめます。

よこやま良平が復旧現場で重視するのは、すべての資格情報を一度に変えることではなく、攻撃者が新しい情報を取り戻せない順番で支配権を回復することです。
迷った時は、変更作業を増やす前に依存関係と証拠を整理してください。

WordPressの不正アクセスが自分で直せない時は

ワードプレスのWordPressエラートラブル解決をしたいなら、クイックレスキューが解決します。

これらでお悩みなら最短30分ですぐに解決します！

いまなら期間限定で