WordPressの乗っ取り、
経路は主に3つ。
今日からできる7つの対策。

WordPressは世界中で使われているため、攻撃者にとっても「狙えば当たりが多い」存在です。乗っ取りの多くは、特別な技術ではなく、放置された設定を機械的に突かれたものです。ここでは、中小企業のサイトで実際に起きやすい経路と、今日からできる対策を整理します。

乗っ取りの典型的な3つの経路

乗っ取りに気づく5つのサイン

• 管理画面の「ユーザー」に、見覚えのない管理者がいる
• サイトが急に遅い／スマホでだけ別サイトへ飛ぶ
• Googleで自社名を検索すると、身に覚えのない文字や商品が表示される
• サーバー会社から不審な大量メール送信・通信の連絡が来た
• サーバー内に、覚えのないファイル（ランダムな名前の .php など）がある

今日からできる7つの対策

1. WordPress本体・プラグイン・テーマを最新に（使っていないものは削除）
2. ユーザー名「admin」をやめる。推測されにくい名前に変更
3. 強いパスワード＋二段階認証を管理者全員に
4. ログイン画面の保護：ログインURLの変更、試行回数の制限、IPアクセス制限
5. バックアップを自動化し、サーバーとは別の場所にも保管
6. 公式ディレクトリ以外の無料テーマ・プラグインは入れない
7. 年に数回、外から見える状態を点検する（管理画面の露出、バージョン表示、SSL）

乗っ取られたときの流れ

1. 現状を保存（スクリーンショット・ログ）
2. 管理画面・FTP・サーバー・DBのパスワードを全て変更
3. 制作会社・サーバー会社へ連絡し、きれいなバックアップがあるか確認
4. 復旧後、本体・プラグインを最新化。侵入口を塞ぐ
5. お問い合わせ内容など個人情報が漏れた可能性があれば、報告・通知の要否を確認

よくある質問（FAQ）

WordPressが乗っ取られたかどうか、どう見分けますか？

見覚えのない管理者ユーザーが増えている、サイトが突然遅い・別サイトへ飛ぶ、Googleの検索結果に身に覚えのない文字が出る、ホスティング会社から不審な通信の連絡が来る、などが代表的なサインです。管理画面の「ユーザー」一覧と、サーバーのアクセスログをまず確認してください。

セキュリティプラグインを入れれば安全ですか？

補助にはなりますが、それだけでは足りません。プラグイン自体が古いと弱点になります。本体・プラグインの更新、強いパスワードと二段階認証、不要なものの削除が土台です。

乗っ取られたら、サイトを作り直すしかないですか？

多くの場合、きれいなバックアップに戻したうえで、侵入口（弱いパスワード・古いプラグイン）を塞げば復旧できます。バックアップが無い場合は、専門家による調査と作り直しの判断が必要です。

まとめ｜「更新」と「ログイン保護」でほとんどの入口は閉じられる

WordPressの乗っ取りは、更新の放置と弱いログインが主な原因です。まずは今日、管理画面のユーザー一覧と、プラグインの更新状況を確認してみてください。