WordPressは多くの企業のホームページで使われているCMSです。便利な反面、ログイン画面を狙った攻撃も多く、不正ログイン対策をしていないWordPressサイトは、気づかないうちに管理画面へ入られるおそれがあります。不正ログイン対策は公開後に行うこともできますが、ホームページ制作時に設定しておけば、公開した日から守られた状態で運用を始められます。
この記事では、WordPressサイトが不正ログインで狙われる理由と、不正ログインされると起きることを説明したうえで、当社がホームページ制作時に行っている不正ログイン対策を紹介します。対策を行うときの注意点も解説するので、WordPressでホームページの制作やリニューアルを考えている方は参考にしてください。
WordPressサイトが不正ログインで狙われる理由
WordPressサイトが不正ログインで狙われるのには、WordPressならではの理由があります。狙われる理由を知っておくと、どのような対策が必要なのかを判断しやすくなります。
WordPressは利用者が多く攻撃の対象になりやすい
WordPressは世界中で最も多く使われているCMSで、日本でも多くの企業のホームページがWordPressで制作されています。
攻撃する側から見ると、WordPressの仕組みに合わせた攻撃方法を1つ用意すれば、数多くのホームページに同じ方法を試せることになります。そのため、WordPressサイトは会社の規模や業種に関係なく、不正ログインの対象になっています。
攻撃の多くは特定の企業を選んで行われるものではなく、ツールでWordPressサイトを探して機械的にログインを試すものです。小さな会社のホームページだから狙われないということはありません。
ログイン画面のURLが初期設定のままだと見つけられやすい
WordPressのログイン画面は、初期設定では「/wp-login.php」や「/wp-admin/」といったURLになっています。
すべてのWordPressサイトで共通のURLなので、ホームページのURLの後ろにこれらを付けるだけで、誰でもログイン画面を開けます。ログイン画面が見つかれば、ユーザー名とパスワードの組み合わせを何度も試す攻撃を受けることになります。
ログイン画面のURLが初期設定のままのWordPressサイトは、不正ログインの入口が最初から知られている状態です。
推測されやすいユーザー名が使われている
WordPressにログインするには、ユーザー名とパスワードの両方が必要です。
しかし、ユーザー名に「admin」や会社名、ドメイン名など推測されやすいものが使われていると、攻撃する側はパスワードを当てるだけで不正ログインできてしまいます。また、WordPressは初期設定のままだと、投稿者の一覧ページのURLなどからユーザー名が分かってしまうことがあります。
ユーザー名が知られている状態では、パスワードが単純であるほど短い時間で突破されやすくなります。
WordPressサイトに不正ログインされると起きること
WordPressサイトに不正ログインされると、管理画面からホームページを自由に操作されてしまいます。不正ログインで起きる代表的な被害を紹介します。
ホームページが改ざんされる
不正ログインで管理画面に入られると、ページの内容を書き換えられたり、見覚えのないページを大量に作られたりします。
ページに不正なスクリプトを埋め込まれ、ホームページを見たユーザーが別のホームページへ移動させられたり、ウイルスに感染させられたりすることがあります。
管理者のユーザーを勝手に追加されると、パスワードを変えても再び入られてしまいます。改ざんされたページが検索エンジンに危険なページと判断されると、検索結果に警告が表示されたり、検索結果に表示されなくなったりして、集客にも影響します。
改ざんは見た目では気づきにくく、知らないうちに被害が広がっていることも少なくありません。
ホームページで集めた個人情報が漏洩する
問い合わせフォームや会員登録、ECサイトの注文などで集めた個人情報は、WordPressのデータベースに保存されていることがあります。
不正ログインされると、管理画面からこうした個人情報を閲覧されたり、持ち出されたりするおそれがあります。お客様の氏名や住所、電話番号、メールアドレスが漏洩すると、お客様に迷惑がかかるだけでなく、企業には個人情報保護委員会への報告や本人への通知が必要になる場合があります。
取引先やお客様からの信用を失うことにもつながり、ホームページだけの問題では済まなくなります。
当社がホームページ制作時に行うWordPressサイトの不正ログイン対策
当社では、WordPressでホームページを制作するときに、公開前の段階で不正ログイン対策を設定しています。当社が行っている不正ログイン対策を紹介します。
SiteGuard WP Pluginを入れて設定する
SiteGuard WP Pluginは、WordPressのログイン画面を守るための機能がまとまった、無料で使える日本製のプラグインです。
当社ではホームページ制作時にSiteGuard WP Pluginを入れ、ログイン画面に画像認証を追加しています。画像に表示された文字を入力しないとログインできないので、ツールを使って機械的にログインを試す攻撃を防げます。
また、ログイン画面のURLを初期設定の「/wp-login.php」から変更しています。ログイン画面のURLが分からなければ、攻撃する側はログインを試すこと自体ができません。
さらに、ログインに何度も失敗したときにロックをかける設定も行い、ユーザー名とパスワードの組み合わせを何度も試す攻撃を受けても、途中でログインできない状態にしています。
ユーザー名とパスワードを複雑にする
SiteGuard WP Pluginでログイン画面を守っていても、ユーザー名とパスワードが単純なままでは、不正ログインされる危険は残ります。
当社ではホームページ制作時に、ユーザー名を「admin」や会社名、ドメイン名など推測されやすいものにせず、第三者が想像できない文字列にしています。パスワードも、英字の大文字・小文字と数字、記号を組み合わせた長い文字列にしています。
ユーザー名とパスワードの両方を複雑にしておけば、ログイン画面を見つけられたとしても、不正ログインを突破されにくくなります。
サーバーのセキュリティ対策を行う
WordPressの不正ログイン対策は、WordPressの中だけで行うものではありません。
当社ではホームページ制作時に、レンタルサーバーに用意されているセキュリティ機能も設定しています。不正なアクセスを検知して遮断するWAFや、海外のIPアドレスから管理画面やログイン画面へのアクセスを制限する機能を使えば、WordPressに届く前の段階で不正ログインを防げます。
WordPressとサーバーの両方で対策しておくことで、どちらか一方の対策をすり抜けられても、不正ログインされにくい状態を保てます。
WordPressサイトの不正ログイン対策を行うときの注意点
WordPressサイトの不正ログイン対策は、設定して終わりではありません。対策の内容によっては、社内の担当者がログインできなくなることもあるので、注意点を押さえておくことが大切です。
ロックがかかったときの解除方法を決めておく
ログインに何度も失敗したときにロックをかける設定は、不正ログインを防ぐ一方で、正しい担当者がパスワードを間違えたときにもロックがかかります。ロックがかかると一定時間ログインできなくなるので、急いで更新したいときに作業ができなくなることがあります。
ロックは時間を置けば自動で解除されますが、急いでいるときは別のネットワークからログインする方法があります。ロックはログインに失敗したIPアドレスに対してかかるので、スマホのモバイル回線など、別のネットワークに切り替えればログインできます。
ただし、同じ会社のWi-Fiにつないだ別のパソコンは同じIPアドレスになることが多く、ロックされたままになります。ロックがかかったときにどうすればよいかを担当者の間で共有しておけば、慌てずに対応できます。
パスワードを使い回さない
WordPressのパスワードを複雑にしていても、ほかのサービスと同じパスワードを使い回していると、不正ログインを防げません。
ほかのサービスからパスワードが漏洩すると、同じパスワードでWordPressにログインを試されるおそれがあります。メールアドレスやユーザー名まで同じにしていると、さらに不正ログインされやすくなります。WordPressのパスワードはWordPress専用にして、ほかのサービスと共通にしないことが大切です。
担当者が複数いる場合は、1つのアカウントを共有せず、担当者ごとにアカウントとパスワードを分けておくと、誰かのパスワードが漏れたときの被害も抑えられます。
まとめ
WordPressサイトは、会社の規模や業種に関係なく不正ログインで狙われます。不正ログイン対策は、ホームページを公開してから考えるのではなく、ホームページ制作の段階で設定しておくことが大切です。
当社では、WordPressでホームページを制作するときに、SiteGuard WP Pluginの設定やユーザー名とパスワードの設定、サーバーのセキュリティ対策を公開前に行っています。不正ログイン対策まで含めて、安心して運用できるホームページを制作したいとお考えでしたら、お気軽にご相談ください。
御社のホームページの目的や更新する担当者の体制をお聞きしたうえで、必要な対策を含めたホームページ制作をご提案します。
