- なぜ「WordPressの管理画面が丸見え」だと危険なのか
- 専門知識がなくても5分でできる自己チェック5ステップ
- 今すぐできる無料・低コストの防御策4つ
- 「制作会社にお任せ」で放置される、見落としがちな運用の落とし穴
「うちみたいな小さな会社のホームページなんて、誰も攻撃してこないよ」——もしそうお考えなら、少しだけ危険信号です。サイバー攻撃者が狙っているのは大企業だけではありません。自動化された攻撃プログラム（ボット）が、インターネット上のWebサイトを24時間無差別に巡回し、セキュリティの甘いサイトを片端から探しています。
特に、日本の中小企業で最も多く使われているCMS「WordPress（ワードプレス）」は、そのシェアの高さゆえに世界で最も攻撃の標的にされやすいシステムです。そして被害に遭う多くのサイトに共通しているのが、「管理画面の入口が丸見え（無防備）」という事実です。この記事では、専門知識がなくても5分で確認できる自己チェック手順と、今すぐ実践すべき防御策を解説します。
なぜ「管理画面が丸見え」だと危険なのか
WordPressを初期設定のまま導入している場合、管理画面へのログインURLは原則として決まっています。誰でも次のURLをブラウザに打ち込むだけで、ログイン画面にたどり着けてしまいます。
これは例えるなら、オフィスの金庫が路地に面したガラス張りで、鍵穴が剥き出しになっているようなもの。攻撃者は手作業で探しているわけではなく、専用のボットで全世界のWordPressサイトに自動アクセスし、ユーザー名とパスワードをひたすら試します。これが「ブルートフォース攻撃（総当たり攻撃）」の入口です。
乗っ取られた場合に起きること
- サイトの改ざん・閲覧不能化：トップページが不適切な画像やメッセージに書き換えられる。
- マルウェア拡散拠点化：自社サイトを訪れた顧客のPCにウイルスを感染させてしまう。
- 他社攻撃の「踏み台」：自社サーバー経由で取引先や大手企業へ攻撃が仕掛けられる。
- 検索エンジンからのペナルティ：Googleに「危険なサイト」と警告され、検索結果から消える（＝集客力の喪失）。
今の攻撃者の目的は情報窃取だけではありません。あなたのサイトを踏み台にして他社へウイルスを撒く、詐欺ECサイトに書き換えるといった被害が多発しています。この場合、あなたの会社は被害者であると同時に「加害者」として損害賠償を問われるリスクを負います。守るべきは情報だけでなく「会社の信用」そのものです。
これは「特別ずさんな会社」の話ではありません。私たちが地方の商工会議所・商工会クラス（地域の中小企業を束ねる公的な団体）のサイトを外周点検したところ、診断できた20団体のうち半数（10団体）で管理画面（/wp-login.php 等）が外から見え、7割でCMSやサーバーのバージョンが丸見えでした。「セキュリティに気を配っていそう」な組織ですらこの状態です。まずは自社が同じ状態でないか、下の5分チェックで確かめてください。
【5分で完了】管理画面の「丸見え度」自己チェック5ステップ
いますぐブラウザを開いて、次の5点を確認してください。Web担当者でも経営者でも、専門知識なしで判定できます。
自社URLの末尾に /wp-admin または /wp-login.php を付けてアクセスします。
攻撃ボットは admin やドメイン名（会社名）を最初のログイン候補として自動入力します。
URL欄に https://自社ドメイン/?author=1 と入力してアクセスします。多くの環境で「投稿者ID（＝ログインユーザー名）」が露出します。
/author/○○○/ に変化し、末尾にユーザー名が表示される。あえて誤ったパスワードを3〜5回続けて入力してみます。
管理画面のダッシュボードに、赤い更新通知が溜まっていませんか。攻撃の多くは放置された「既知の脆弱性」を突いて行われます。
チェック結果の判定めやす
| 「危険」該当数 | 危険度 | 今すぐやること |
|---|---|---|
| 0個 | 安全 | 良好な状態。定期バックアップと更新を継続。 |
| 1〜2個 | 要警戒 | ログインURLの変更・プラグイン更新を早急に。 |
| 3個以上 | 厳重注意 | いつ乗っ取られてもおかしくない状態。下記をすぐ実施。 |
今すぐ、自社サイトの危険性をチェック
ドメインを入れるだけで、「誰でも管理画面に入れる状態になっていないか」「サイトの鍵（暗号化）が切れていないか」「古いシステムのまま放置されていないか」を、誰でも見られる情報の範囲で自動チェックします。
自社サイトが「外から」どう見えているか、
無料で点検します。
攻撃者と同じ外部の視点で、ログインURLの露出やユーザー名の暴露など危険箇所を可視化し、1枚のレポートにしてお渡しします。調査は公開情報の範囲（不正アクセス禁止法を完全遵守）で行います。
オンライン対応・押し売りなし今すぐできる4つの防御策（無料・低コスト）
「危険」に該当しても、焦る必要はありません。以下でセキュリティレベルは劇的に上がります。
『SiteGuard WP Plugin』など国内定番の無料プラグインで、ログインURLを任意の文字列に変更。これだけで無作為な自動攻撃の大半を入口で遮断できます。
パスワードに加え、スマホアプリのワンタイムコードや画像認証を必須化。万一パスワードが解読されてもログインを阻止できます。
複雑なユーザー名で新しい管理者を作成し、初期の
admin は削除。表示名（ニックネーム）もログインIDとは別に設定します。万一の改ざんに備え、『UpdraftPlus』等で毎日自動バックアップ。「元に戻せる」ことが最大の保険になります。
【落とし穴】「制作会社にお任せ」で放置されるケース
多くの経営者が「制作会社に作ってもらったからセキュリティも万全」と思い込んでいます。しかし一般的なWebサイト制作契約には、納品後の継続的な更新（保守・メンテナンス）が含まれないケースが多いのです。
納品された瞬間から、WordPressの“カウントダウン”は始まっています。保守契約がなければ、プラグイン更新やバックアップは自社の責任。放置すれば数か月後には脆弱性だらけのサイトに変貌します。まずは保守契約の有無を確認し、含まれていなければ自社での運用ルールを決めましょう。
社内で今すぐ決めるべき管理ルール
- 1人1アカウントの徹底：複数人で
adminを使い回さない（変更履歴を追跡できるように）。 - 退職者アカウントの即時削除：放置された元社員アカウントからの流出を防ぐ。
- パスワードマネージャーの活用：推測されやすいものをやめ、16文字以上のランダム文字列に。
- 使っていないプラグインは「削除」：無効化だけでは脆弱性が残る。削除して裏口を減らす。
よくある質問（FAQ）
自社サイトの管理画面が「丸見え」か、簡単に確認する方法は？
自社ドメイン末尾に /wp-admin/ または /wp-login.php を付けてアクセスします。ログイン画面が出たら「丸見え」、404エラーやアクセス拒否なら対策済みです。
中小企業の小さなサイトでも本当に攻撃されますか？
はい。攻撃は人が手作業で狙うのではなく、ボットが24時間無差別に巡回して行います。企業規模は関係なく、セキュリティが甘い順に標的になります。
一番効果が高い対策はどれですか？
ログインURLの変更です。無料プラグインで設定でき、機械的な自動攻撃の大半を入口で遮断できます。
制作会社に作ってもらったサイトなら安全ですか？
必ずしも安全ではありません。多くの制作契約は納品後の保守を含みません。まず契約内容を確認してください。
まとめ｜管理画面の保護は「企業の信用管理」そのもの
WordPressのセキュリティ対策は、高額なサーバーやソフトを買わなければできないものではありません。ログインURLを変える／更新を溜め込まない／パスワードを複雑化し2要素認証を入れる——この基本だけで、攻撃を受けるリスクは劇的に下がります。
自社サイトが犯罪の踏み台にされ、取引先や顧客に迷惑をかけてからでは遅すぎます。まずは今すぐ「丸見え度チェック」を実行し、会社の看板であり貴重な集客ツールであるWebサイトを守り抜いてください。
「うちのサイトは大丈夫？」を、
プロが外部の視点で無料点検します。
公開情報の範囲で“攻撃者から見た自社サイト”を可視化し、優先度の高い対策から整理してお渡しします。押し売りはしません。
オンライン対応・所要約30分・押し売りなし