WordPressサイトのハッキング被害事例と効果的なセキュリティ対策

近年、WordPressをはじめとするウェブサイトへの不正アクセスや不正ログインが急増しています。

東京商工リサーチの報告によると、2024年には上場企業とその子会社による個人情報の漏洩・紛失事故が前年比8％増の189件に上りました。
→東京商工リサーチ

特にWordPressは世界中で広く利用されているため、サイバー攻撃の標的になりやすいCMS（コンテンツ管理システム）と一部で言われていますが、『WordPress = 危険』ということではありません。
（詳しい内容については、TOPページにて紹介していますので、後ほどご覧ください）

そこで本記事では、WordPressサイトで発生した不正アクセスや不正ログインの事例を紹介するとともに、攻撃の手口や被害の原因、そして効果的なセキュリティ対策について詳しく解説します。

1. WordPressサイトへの不正アクセスや不正ログイン・ハッキング事例一覧

WordPressサイトでは、これまでに多くの不正アクセスや不正ログインの被害が報告されています。

以下は、実際に発生したハッキング事件の事例です。

• 某企業の公式サイトが改ざんされ、フィッシング詐欺の温床に。
• 個人ブログの管理画面が乗っ取られ、スパムサイトへ誘導されるリンクを大量設置。
• ECサイトの顧客情報が漏洩し、大規模な個人情報流出事件に発展。

このような被害はWordPressサイトの規模を問わず発生しており、特に適切なセキュリティ対策が施されていない場合、攻撃者の標的になりやすくなります。

実際に2025年以降でWordPressに関わる不正アクセス・不正ログイン・サイト改ざん被害を一覧にしました。

発表日	本社所在地	企業名	主な内容
2025年3月13日	山口県	東亜大学	在学生・卒業生の氏名（漢字，カタカナ）・性別・生年月・メールアドレス・学籍番号・学生ポータルサイトのパスワード・所属学部・学科等・出身高校・就職先・職種・面談情報等、17,276名分
2025年1月21日	福井県	社会福祉法人光道園	外部からの不正な改ざん

2. なぜWordPressサイトが狙われるのか？

WordPressは世界中のウェブサイトの約40％以上で使用されているCMSであり、その人気の高さが逆に攻撃者の標的となる理由の一つです。
また、以下のような要因が影響しています。

• オープンソースであるため、脆弱性が発見されやすい
• プラグインやテーマの脆弱性を悪用した攻撃が可能
• 初心者ユーザーが多く、セキュリティ対策が不十分になりがち

これらの理由により、WordPressサイトは継続的なセキュリティ対策が必要不可欠で、しっかりと対策を施すことで安心してサイト運用することができます。

3. ウェブサイトはほっとくだけでいい、というのは間違い

「一度作ったウェブサイトは、そのまま放置しても問題ない」と考えている人は少なくありません。しかし、これは大きな誤解です。

特にWordPressを利用している場合、サイトを放置すると不正アクセスや不正ログイン、データの漏洩といったリスクが高まります。
ウェブサイトは運営し続ける限り、定期的なメンテナンスが不可欠です。

ウェブサイトを放置することのリスクには、以下のようなものがあります。

3-1. セキュリティの脆弱化

WordPress本体やプラグイン・テーマは定期的にアップデートされていますが、これらを放置していると古いバージョンの脆弱性が狙われ、攻撃者に侵入される危険性が高まります。実際に、多くのハッキング被害は「更新されていないプラグイン」や「古いWordPressバージョンの使用」が原因となっています。

3-2. サイトの表示崩れや機能停止

ウェブサイトを長期間放置していると、サーバー環境やブラウザの仕様変更により、表示が崩れたり、一部の機能が動作しなくなったりすることがあります。特に、古いプラグインとの互換性の問題が発生し、最悪の場合、サイトが完全に動かなくなることもあります。

3-3. 検索順位（SEO）の低下

Googleなどの検索エンジンは、定期的に更新されているサイトを評価する傾向があります。放置されたサイトは、新しい情報が提供されていないと判断され、検索結果の順位が下がる可能性があります。

さらに、サイトの表示速度が遅くなったり、リンク切れが発生したりすると、ユーザー離れが進み、さらにSEO評価が下がる悪循環に陥ります。

3-4. サイトの乗っ取りや改ざん

管理が行き届いていないWordPressサイトは、攻撃者にとって絶好の標的になります。不正ログインされると、サイトが改ざんされ、フィッシング詐欺やマルウェア配布の踏み台にされることもあります。

最悪の場合、Googleから「危険なサイト」と認識され、検索結果から除外されることもあります。

4. WordPressサイトのセキュリティ対策だけ実施すれば十分？

WordPressのセキュリティ対策を徹底していても、サイトが改ざんされたり乗っ取られたりする原因はWordPressだけとは限りません。
近年では、受信したメールをきっかけにPCやスマートフォンへウイルスが侵入し、保存されているログイン情報を盗まれるケースも報告されています。

特に、フィッシングメールやマルウェア付きの添付ファイルを利用した攻撃が増えており、無意識のうちに不正なサイトへ誘導されたり、マルウェアをダウンロードしてしまったりする危険があります。

そのため、WordPressサイトのセキュリティ対策だけでなく、ログインに使用するPCやスマートフォンなどのデバイスのセキュリティ強化も欠かせません。

不審なメールやなりすましメールを受け取った際は、安易にリンクをクリックしたり、添付ファイルを開いたりしないように注意しましょう。
特に、送信元が不明なメールや、普段利用しているサービスを装った不審な通知には警戒が必要です。さらに、最近では、メール文章やドメインが巧妙となっていて、迷惑メールとして判断されない場合も出ています。

少しでも不安を感じた場合は、公式サイトから直接ログインするなど、安全な方法で確認することが大切です。

5. 小規模サイトでも標的になる理由

規模が小さいからといって安心できるわけではありません。不正アクセスや不正ログインの被害は、大手企業だけでなく個人ブログや小規模なビジネスサイトでも頻繁に発生しています。
その理由は以下の通りです。

• 攻撃者は自動スクリプトを利用して無差別に攻撃を試みる
• 小規模サイトの多くはセキュリティ対策が甘いとされている
• 一度乗っ取られると、スパムサイトやマルウェア拡散の踏み台にされる

そのため、どんなに小規模なWordPressサイトであっても、適切なセキュリティ対策を行うことが重要です。

6. WordPressサイトの不正アクセス・不正ログイン被害の原因

WordPressサイトが不正アクセスの被害に遭う主な原因は、以下のようなものです。

• 推測されやすいパスワードの使用
• 古いWordPressバージョンの使用
• 脆弱性のあるプラグインやテーマの導入
• ファイルパーミッションの設定ミス

これらの問題を放置すると、サイトが攻撃者にとって格好の標的となってしまいます。

7. WordPressの脆弱性とは？

WordPressの脆弱性とは、攻撃者がサイトに不正アクセスしたり、データを盗み出したりするために悪用できるセキュリティ上の欠陥のことを指します。
WordPressは世界中で広く利用されているため、ハッカーにとって格好の標的となりやすく、日々新たな脆弱性が発見・悪用されています。

WordPressの脆弱性には、大きく分けて以下の3種類があります。

7-1. コアの脆弱性

WordPressの本体（コアファイル）に含まれるプログラムの欠陥です。WordPressはオープンソースであるため、コードが誰でも閲覧可能であり、脆弱性が見つかると攻撃者によって悪用される可能性があります。

ただし、WordPress本体は頻繁にアップデートされ、発見された脆弱性は速やかに修正されるため、常に最新バージョンに更新することが重要です。

7-2. プラグイン・テーマの脆弱性

WordPressの機能を拡張するプラグインやテーマには、多くのサードパーティ製のものが存在します。

しかし、これらのプラグインやテーマの中には、セキュリティ対策が不十分なものや、開発が放棄されたものもあり、重大な脆弱性を含んでいることがあります。

特に以下のようなケースでは、ハッキングのリスクが高まります。

• 長期間更新されていないプラグインやテーマを使用している
• インストール数が少なく、開発者のサポートが期待できないプラグインを利用している
• 非公式のサイトからダウンロードしたテーマやプラグインを使用している

対策としては、公式ディレクトリからダウンロードした信頼性の高いプラグインを利用し、不要なものは削除することが推奨されます。

7-3. 設定ミスによる脆弱性

WordPressの設定やサーバーの環境設定が適切でないと、攻撃者に悪用されるリスクが高まります。

よくある設定ミスには以下のようなものがあります。

• デフォルトの管理者アカウント（「admin」）を使用している → 攻撃者に狙われやすくなる
• ログインURLが初期設定のまま（wp-login.php） → ブルートフォース攻撃（総当たり攻撃）の標的にされる
• ファイルやフォルダのパーミッション設定が甘い → 攻撃者に重要なファイルを操作される可能性がある
• エラーメッセージの詳細情報を公開している → 攻撃者がサイトの脆弱性を探る手がかりとなる

これらのリスクを防ぐために、管理画面のアクセス制限やログインURLの変更、適切なファイル権限の設定などを行うことが大切です。

8. WordPressサイトの脆弱性の実態

本記事を作成するにあたり、独自に調査したところ、100サイトのWordPressのうち、24サイトで脆弱性が確認できました。
これらの脆弱性の多くは、古いプラグインの使用、未更新のWordPress本体、不適切な設定 によるものでした。

特に、小規模サイトではセキュリティ対策が十分に行われていないケースが多く、攻撃者にとっては狙いやすい標的となっています。
今回の調査結果からも、WordPressサイトを安全に運用するためには、定期的な更新とセキュリティ対策の実施が不可欠 であることが明らかになりました。

9. WordPressサイトのセキュリティ対策

WordPressのセキュリティを強化するためには、以下のような対策が必要です。

• 管理画面の保護：WordPressのログインページ（wp-login.phpやwp-admin）を変更し、攻撃者が簡単にアクセスできないようにする。
• IP制限の設定：特定のIPアドレス以外から管理画面にアクセスできないように設定する。
• SSL/TLSの導入：Webサイトの通信を暗号化し、データの盗聴や改ざんを防ぐ。
• ディレクトリのアクセス制限：.htaccessを利用して、不要なディレクトリへのアクセスを遮断する。

これらの対策を組み合わせることで、不正アクセスやハッキングのリスクを軽減できます。

10. 強固なパスワードと二段階認証の重要性

弱いパスワードを使用していると、不正ログインのリスクが高まります。

以下のポイントを意識して、強固なパスワードを設定しましょう。

• 長さは12文字以上にする
• 英大文字・小文字・数字・記号を組み合わせる
• 辞書に載っている単語や推測しやすい情報を避ける

また、二段階認証（2FA）を導入することで、万が一パスワードが漏洩しても、攻撃者によるログインを防ぐことができます。
Google Authenticatorなどのアプリを利用すると便利です。

11. WordPressのセキュリティプラグイン活用方法

WordPressには多くのセキュリティプラグインが存在し、適切に活用することで安全性を向上させることができます。

おすすめのプラグインは以下になります。

• Wordfence Security：ファイアウォールやマルウェアスキャン機能を搭載
• iThemes Security：不正ログイン防止やデータベースの保護が可能
• Sucuri Security：Webアプリケーションファイアウォール（WAF）機能あり

ただし、プラグインを過信せず、定期的にアップデートや設定の確認を行うことが重要です。

12. WordPressサイトの定期的なメンテナンスと更新

WordPressのセキュリティを維持するためには、定期的なメンテナンスと更新が不可欠です。

• WordPress本体・プラグイン・テーマの更新：セキュリティ修正が含まれることが多いため、定期的に最新バージョンへアップデートする。
• 不要なプラグインやテーマの削除：使っていないプラグインやテーマは脆弱性の原因となるため、削除する。
• バックアップの実施：予期せぬトラブルに備え、定期的にバックアップを取る（プラグインやサーバーの機能を活用）。

このようなメンテナンスを習慣化することで、サイトを安全に運用できます。

13. まとめ

WordPressサイトへの不正アクセスや不正ログイン被害は、サイトの大小を問わず発生する深刻な問題です。しかし、適切なセキュリティ対策を講じることで、被害のリスクを大幅に低減することが可能です。

本記事で紹介した対策を実践し、定期的な更新や監視を行うことで、WordPressサイトを安全に運用しましょう。

WP保守ガードでは、WordPressのセキュリティ対策やサイト保守を専門に行っています。サイトの安全性について不安がある方は、お気軽にご相談ください。

投稿者プロフィール

遠藤 晃太代表

WordPressを使ったサイト制作は10年以上。
これまでにショッピングサイト、カーショップ、不動産、認定講座、弁護士、生命保険、病院、司法書士、飲食店、運送業、高校案内サイト、留学案内サイト、施設案内サイト、幼稚園、鍼灸院、キャンプ場、大学など、多数のサイト制作してきました。
じっくりと話し合い、お客様にピッタリのご提案やサポートを目指します。

最新の投稿

• WordPress保守2025年4月3日WordPressサイトのハッキング被害事例と効果的なセキュリティ対策
• AI2025年3月25日AIでホームページ制作は実現可能？業界の未来と注意点を解説
• ピックアップ2025年3月21日WordPressはユーザーIDが丸見え？ セキュリティリスクと対策を徹底解説
• ホームページ保守2025年3月18日ホームページ保守とは？運営に必要な内容を徹底解説