不正アクセスとは、本来アクセスする権限がない人が、サーバー・Webサイト・管理画面・アカウントなどへ侵入したり、不正な操作を行ったりすることです。
対策では、強いパスワードだけに頼るのではなく、多要素認証、アップデート、権限管理、WAF、ログ監視、バックアップを組み合わせることが重要です。
30秒でわかる結論
- 不正アクセスは、盗まれたID・パスワードだけでなく、脆弱性や設定不備からも起こる
- WordPress本体・テーマ・プラグインは放置せず更新する
- 管理者アカウントには多要素認証を使う
- 不要な管理者・退職者・外注先アカウントは残さない
- WAFやログイン制限で攻撃を受けにくくする
- ログと監視で「侵入されたことに気づける状態」を作る
- バックアップは複数世代を保持し、復元できることまで確認する
不正アクセスとは？
不正アクセスは、正規の権限を持たない人が、Webサイト・サーバー・クラウドサービス・管理画面などへ侵入し、情報閲覧や設定変更などを行うことを指します。
「パスワードを破られてログインされる」ケースだけではありません。
代表的な例
- 盗まれた管理者ID・パスワードでログインされる
- 古いプラグインの脆弱性を悪用される
- 管理画面やAPIの設定不備を突かれる
- 外注先のアカウントを悪用される
- サーバー上へ不正なファイルを設置される
不正アクセスは入口が1つではない
パスワード対策だけを強化しても、古いソフトウェアや不要な公開機能が残っていれば別経路から侵入される可能性があります。
不正アクセスされると何が起こる？
| 被害 | 具体例 |
|---|---|
| 情報漏えい | 顧客情報・問い合わせ内容・会員情報の流出 |
| サイト改ざん | ページ書き換え、不正広告、偽フォーム設置 |
| アカウント乗っ取り | 管理者追加、パスワード変更 |
| マルウェア設置 | 不正ファイル、バックドア設置 |
| 踏み台化 | 他サイトへの攻撃・迷惑メール送信 |
| サービス停止 | サイト・予約・EC・メールが利用不能 |
会社サイトでは、復旧費用だけでなく、問い合わせ停止、取引先への説明、信用低下、個人情報対応なども発生する可能性があります。
原因1｜ID・パスワードの流出
よくある侵入経路の1つが、認証情報の悪用です。
- 同じパスワードを複数サービスで使い回す
- フィッシングサイトへ入力する
- マルウェアに盗まれる
- 共有アカウントから漏れる
- 退職者・元外注先のアカウントが残る
「複雑なパスワードだけ」で終わらない
パスワード自体が第三者へ渡れば、どれだけ複雑でもログインされます。重要な管理アカウントでは、多要素認証を追加してください。
原因2｜WordPress・プラグインの脆弱性
WordPress本体、テーマ、プラグインなどに脆弱性が見つかることがあります。
修正版が公開されているのに古いバージョンを使い続けると、既知の弱点を狙われる可能性があります。
WordPressで確認
- WordPress本体を更新しているか
- テーマを更新しているか
- プラグインを更新しているか
- 使っていないプラグインを削除したか
- 長期間更新されていないプラグインを使っていないか
「使っていないから無効化」ではなく不要なら削除
無効化中でもファイル自体がサーバーへ残っていれば管理対象です。不要なテーマ・プラグインは削除し、攻撃対象になる面を減らしてください。
原因3｜不要な公開機能・設定不備
外部公開しているアプリケーション、管理画面、API、ファイルなどが必要以上に公開されていると、攻撃対象が増えます。
IPAも2026年10月の注意喚起で、外部公開アプリケーションや外部サービスを洗い出し、公開範囲・権限・ログなどを見直すことを求めています。
使っていない入口を閉じる
利用していない管理画面、古いテスト環境、不要なFTPアカウントなどは、そのまま残さず停止・削除します。
原因4｜権限の与えすぎ
必要以上に多くの人へ管理者権限を与えると、1つのアカウント侵害がサイト全体へ影響しやすくなります。
管理者10人 → 管理者2人 ＝ 強い権限を持つアカウントを80％削減
実際のリスクは人数だけでは決まりませんが、不要な高権限を減らすことは基本対策です。
| 担当 | 権限の考え方 |
|---|---|
| システム責任者 | 管理者 |
| 記事管理責任者 | 編集者を検討 |
| ライター | 投稿者・寄稿者を検討 |
| 一時的な外注先 | 必要期間だけ付与 |
対策1｜多要素認証を使う
多要素認証では、パスワードに加えて認証アプリ、セキュリティキーなど別の要素を使って本人確認します。
パスワードが漏れても、それだけではログインできない状態を作りやすくなります。
管理者アカウントは多要素認証を基本にする
個人ブログでも有効ですが、特に法人サイト・EC・会員サイトでは、管理者アカウントへの多要素認証を優先してください。
対策2｜WAFを使う
WAF（Web Application Firewall）は、Webアプリケーションへの不正な通信を検知・遮断する仕組みです。
レンタルサーバーに標準搭載されている場合は、有効化できるか確認します。
WAFだけで完全防御はできない
WAFは有効な防御層ですが、パスワード漏えい、古い管理者アカウント、内部不正などすべてを防げるわけではありません。
対策3｜ログイン試行を制限する
WordPress管理画面などでは、短時間に大量のログインを試す攻撃を受けることがあります。
次のような対策を組み合わせます。
- ログイン試行回数を制限する
- 一定回数失敗したIPを一時ブロックする
- 多要素認証を追加する
- 管理画面へのアクセス元を制限する
「ログインURL変更」だけに頼らない
URL変更は攻撃ノイズを減らす補助策にはなりますが、本質的な認証対策ではありません。多要素認証や権限管理を優先してください。
対策4｜ログを確認する
侵入を完全に防ぐことだけでなく、異常へ早く気づくことも重要です。
IPAの2026年10月の注意喚起でも、外部公開アプリケーションについて、ログイン失敗数、ログイン元IP、時間帯などのログに異常がないか確認することが挙げられています。
確認したいログ
- ログイン成功・失敗
- 管理者追加
- プラグイン・テーマ変更
- 不審なファイルアップロード
- 大量の404・500エラー
- 通常と異なるIP・時間帯のアクセス
対策5｜バックアップを複数世代残す
不正アクセス対策では、侵入を防ぐだけでなく、被害後に正常な状態へ戻せることも重要です。
7日保存では足りない例
改ざんから10日後に異常へ気づいた場合、7日分しかバックアップがなければ、正常だった時点まで戻れない可能性があります。
発見まで10日 ＞ バックアップ保存7日 → 正常データが残っていない可能性
バックアップは「あるか」より「いつまで戻れるか」
毎日取得していても1日分しか残らないなら、長期間気づかなかった改ざんに弱くなります。複数世代を残し、復元方法まで確認してください。
対策6｜退職者・外注先アカウントを削除する
使われなくなったアカウントを残すと、管理対象だけが増えます。
定期的に棚卸しするアカウント
- 退職者
- 異動した担当者
- 契約終了した制作会社
- 一時的に依頼したライター
- テスト用管理者
- 用途不明の古いアカウント
IPAも、作った覚えのないアカウントや削除・無効化したはずのアカウントが有効になっていないか確認するよう案内しています。
対策7｜管理に使うPCも安全にする
サーバー側を強化しても、担当者PCから認証情報を盗まれれば侵入される可能性があります。
- OSを更新する
- ブラウザを更新する
- 不審なソフトを入れない
- 共有PCで管理画面へ入らない
- パスワードを使い回さない
- パスワード管理ツールを検討する
サーバーだけ見ない
不正アクセス対策は、WordPress・レンタルサーバー・担当者PC・外部サービスをまとめて考える必要があります。
不正アクセスされたかもしれないときの初動
侵害が疑われるときは、慌ててすべて削除するより、状況を記録しながら被害拡大を止めます。
画面、時刻、ログ、変更内容を保存。
必要に応じて公開停止・アカウント無効化。
管理者・サーバー・外部サービスを確認。
ログ、脆弱性、アカウント、ファイルを確認。
安全なバックアップ等から戻す。
更新・権限・認証・WAF・監視を見直す。
証拠を消さない
不審なファイルを見つけても、原因調査前にすべて削除するとログや侵入経路の確認が難しくなる場合があります。法人で情報漏えいの可能性がある場合は専門家へ相談してください。
法人はどこへ相談できる？
IPAは2026年10月16日から、不正アクセス被害を受けている、またはその可能性がある企業・組織向けに「不正アクセス特別相談窓口」を開設しています。
初動対応の助言や、必要に応じて専門業者・相談先の案内を受けられます。
被害が大きい場合は自力だけで抱えない
個人情報漏えい、EC・会員情報、業務システム侵害などが疑われる場合は、サーバー会社・制作会社・セキュリティ専門会社・関係機関へ早めに相談してください。
最低限やるべき対策を用途別に整理
WordPress更新、多要素認証、不要プラグイン削除、自動バックアップを優先。
上記に加え、WAF、権限管理、ログ、外注先管理を確認。
多要素認証、監視、ログ保持、復旧体制、専門保守まで含めて考える。
管理アカウント、サーバー更新、WAF、バックアップは必要。
セキュリティ対策の優先順位
WordPress・テーマ・プラグインを古いままにしない。
多要素認証と強いパスワード。
管理者を必要最小限にする。
WAF・アクセス制限。
ログ・異常検知。
複数世代バックアップ。
不正アクセス対策の費用をどう考える？
セキュリティ費用は、事故が起きなかった年には「何も生まないコスト」に見えます。しかし、事故時の対応時間を数字にすると判断しやすくなります。
復旧対応の例
担当者2人が8時間ずつ調査し、1時間あたり人件費を4,000円と仮定します。
2人 × 8時間 × 4,000円 ＝ 64,000円
ここに制作会社・専門業者の費用、売上停止、顧客対応が加わります。月額数千円～数万円の保守・監視費用は、事故時損失との比較で判断してください。
教科書判定｜「侵入を防ぐ」だけでは足りない
防ぐ・気づく・止める・戻すの4段階を用意する
不正アクセスを100％防ぐことはできません。更新・多要素認証・WAFで侵入されにくくし、ログで異常へ気づき、アカウント停止などで被害を止め、最後にバックアップから復旧できる状態を作ってください。
よくある質問
Q．強いパスワードなら不正アクセスは防げますか？
それだけでは不十分です。パスワード流出、プラグイン脆弱性、設定不備など別の侵入経路があります。多要素認証・更新・WAFなどを組み合わせてください。
Q．WAFを有効にすれば安全ですか？
WAFは有効な防御策ですが、すべての攻撃を防げるわけではありません。認証、更新、権限管理、バックアップも必要です。
Q．アクセスが少ないサイトも狙われますか？
アクセス数が少ないから安全とは限りません。自動化されたスキャンや攻撃はサイト規模に関係なく行われるため、最低限の更新・認証・バックアップは必要です。
Q．不正アクセスされたらすぐWordPressを削除すべきですか？
原因調査前にすべて削除すると証拠やログを失う場合があります。被害拡大を止めつつ、バックアップ・ログを確保して調査してください。
Q．バックアップがあればセキュリティ対策は十分ですか？
十分ではありません。バックアップは復旧対策です。侵入防止・監視・認証強化と組み合わせる必要があります。
まとめ｜不正アクセス対策は複数の防御を重ねる
この記事の結論
- 不正アクセスはパスワード以外の経路からも起こる
- WordPress・テーマ・プラグインを更新する
- 管理者には多要素認証を使う
- 不要なアカウントと権限を減らす
- WAF・ログイン制限で攻撃を受けにくくする
- ログ監視で異常へ早く気づく
- 複数世代バックアップで復旧できる状態を作る
結局、不正アクセス対策で重要なのは「1つの強力な機能を入れること」ではなく、「侵入経路を減らし、侵害に気づき、被害を止め、正常な状態へ戻せるよう複数の対策を重ねること」です。まずは更新・多要素認証・権限整理・WAF・ログ・バックアップの6項目から確認してください。
次に読むなら
不正アクセス対策の全体像が分かったら、次は「WAFとは？」を確認すると、レンタルサーバー側でWeb攻撃をどのように検知・遮断するのか理解しやすくなります。