目次
1. WordPressが狙われる理由
vWordPressは全世界のWebサイトの約40％を占めています。
そのため、脆弱なテーマやプラグインを狙う攻撃が後を絶ちません。
特に狙われやすいのは以下のようなサイトです：
- バージョンが古いまま更新されていない
- 不要なプラグインが多数残っている
- 管理画面のパスワードが簡単
- 定期バックアップがない
これらは「自社には関係ない」と思いがちですが、
実際は中小企業サイトや個人事業サイトも多く被害を受けています。
2. まずやるべき基本対策5選
（1）WordPress本体・テーマ・プラグインを常に最新に
セキュリティの第一歩は「更新」です。
特に無料テーマやプラグインは脆弱性修正が頻繁に行われているため、
自動更新機能の活用がおすすめです。
（2）管理画面のログインURLを変更
/wp-adminや/wp-login.phpのままだと、攻撃者に狙われやすくなります。
「SiteGuard WP Plugin」などのプラグインでログインURLを変更しましょう。
（3）二段階認証を導入
Google Authenticatorなどのアプリを使って、
不正ログイン防止の二段階認証を設定しておくと安全です。
（4）不要なユーザー・プラグイン・テーマを削除
古いアカウントや使っていないプラグインは攻撃の入口になります。
定期的に整理・削除しましょう。
（5）強力なパスワード設定 「admin」「123456」など推測されやすいパスワードは論外です。
英数字・記号を含む12文字以上が理想です。
3. サーバー側のセキュリティ設定も重要
WordPress本体の対策だけでなく、
サーバー設定もセキュリティの要です。
- SSL（https）化の徹底
- ファイルパーミッションの最適化
- ファイアウォール設定（WAF）の有効化
- 管理者IP制限
さくらインターネットやXserverなどの国内サーバーでも、
これらの設定は標準で提供されています。
設定が不明な場合は、運営会社や制作会社に相談して確認しましょう。
4. 万一に備えて「バックアップ体制」を整える
どんなに注意していても、100％安全ということはありません。
そのため、バックアップの仕組みは必須です。
おすすめは以下の2段構え：
- WordPressプラグイン（例：BackWPupなど）で自動バックアップ
- サーバー側（例：さくらのバックアップ＆ステージング）で定期保存
復元テストを定期的に行うことで、いざという時にも迅速に対応できます。
5. 2026年以降の新しい脅威
ここまでご紹介した基本対策は、いわば「家の戸締まり」です。しかし、2026年現在は攻撃の手法がさらに進化しており、「鍵をかける」だけでなく「不審な動きを瞬時に見抜く」力が求められています。
AIによる「自動・大量・巧妙」な攻撃
これまでは攻撃者が手作業で行っていたことが、現在はAIによって24時間365日、全自動で行われるようになっています。
2026年に推奨される「プラスアルファ」の対策
これからの時代、基本の5選に加えて検討したいのが以下の対策です。
- Turnstile（認証システム）の導入 「画像を選んでください」といったタイプではなく、人間かAIかを自動で判別する保護システムを導入し、フォームからの攻撃を防ぎます。
- パスワードに頼らない「パスキー」の検討 指紋認証や顔認証など、デバイス自体の生体認証を利用することで、パスワード漏洩によるリスクを断ち切ります。
- 「検知」と「自律防御」の強化 セキュリティプラグイン（Wordfenceなど）を活用し、不審なアクセスを検知・遮断する体制を整えましょう。
6. まとめ：Webサイトは「作って終わり」ではない時代へ
2026年、Webサイトのセキュリティは「一度設定すれば安心」というものではなくなりました。
- 基本の対策を徹底して隙をなくす
- サーバーの保護機能をフル活用する
- 万一のバックアップで復旧ルートを確保する
- 最新のAI脅威に合わせて対策をアップデートし続ける
このサイクルを回し続けることが、大切なサイトを守ることにつながります。
株式会社クリエ・ココでは、
岡山を拠点に中小企業・個人事業主のWordPressサイト保守・セキュリティ運用をサポートしています。
「現在の設定が最新の脅威に対応できているか不安」という方は、ぜひお気軽に弊社へご相談ください。
📩 “シンプル設計”で成果を上げたい方はこちら
▼クリエ・ココの制作のこだわりを詳しく見たい方へ
