「WordPressのブログを運営しているけれど、マルウェアや不正アクセスが心配……」

そんな不安を感じていませんか？

WordPressは世界中で利用されている人気のCMSだからこそ、攻撃の対象になることがあります。

特に注意したいのが、

• 不正なログイン
• ファイルの改ざん
• マルウェアの埋め込み
• 見覚えのないページの追加
• 知らないサイトへのリダイレクト
• 検索結果に表示されるスパムページ

などです。

しかし、必要以上に難しい対策をする必要はありません。

大切なのは、サーバー・WordPress本体・テーマ・プラグイン・ログイン情報・バックアップを、それぞれ適切に守ることです。

この記事では、WordPress初心者でも取り組みやすいマルウェア対策を、7つに分けて分かりやすく解説します。

WordPressのマルウェア対策で最も大切なこと

WordPressのセキュリティ対策は、1つのプラグインだけに任せれば安心というものではありません。

例えば、

レンタルサーバーのWAF

↓

WordPress本体・テーマ・プラグインの更新

↓

強固なログイン対策

↓

セキュリティプラグイン

↓

定期的なバックアップ

というように、複数の対策を組み合わせることが重要です。

どれか1つに頼るのではなく、複数の防御を重ねる「多層防御」を意識しましょう。

1．WordPress本体・テーマ・プラグインを最新にする

最初に確認したいのが、WordPress本体とテーマ、プラグインの更新です。

古いバージョンを使い続けると、発見された脆弱性が修正されないまま残ってしまう可能性があります。

管理画面に更新通知が表示されていたら、内容を確認したうえで、できるだけ早めに更新しましょう。

ただし、更新ボタンを押す前にはバックアップを取っておくと安心です。

特に重要なのは、

• WordPress本体
• 使用中のテーマ
• 使用中のプラグイン

の3つです。

また、使っていないプラグインやテーマを放置する必要はありません。

「使っていないものは削除する」

これもWordPressの基本的なセキュリティ対策です。

💡 ノロブログの結論

迷ったら、防衛力の高い「Wordfence Security」か、完全日本語で安心な「SiteGuard WP Plugin」のどちらか1つを選べば間違いありません！

2．レンタルサーバーのWAFを有効にする

WordPressの設定だけでなく、レンタルサーバー側のセキュリティ機能も確認しましょう。

代表的な機能が「WAF（Web Application Firewall）」です。

WAFは、Webサイトへの不正なリクエストを検知し、攻撃と判断されたアクセスをブロックするための仕組みです。

ConoHa WINGなど、主要なレンタルサーバーにはWAF機能が用意されています。

まずはサーバーの管理画面を開き、

WAFが有効になっているか

を確認してください。

ただし、WAFを有効にすると、WordPressの正常な操作までブロックされるケースがあります。

その場合は、WAFを無効にするのではなく、まずエラーログや除外設定などを確認し、原因を切り分けることが重要です。

3．ログイン情報を強化する

マルウェア対策では、WordPressそのものを守るだけでなく、管理画面への不正ログインを防ぐことも重要です。

まず、管理者アカウントには推測されにくいパスワードを設定しましょう。

例えば、

名前・誕生日・電話番号・サイト名

などをそのままパスワードに使用するのは避けます。

さらに可能であれば、**2要素認証（2FA）**も利用しましょう。

2FAを設定すると、

パスワード

に加えて、

認証アプリなどによる追加認証

が必要になります。

仮にパスワードが漏れてしまった場合でも、不正ログインのリスクを下げることができます。

4．セキュリティプラグインは「数」より「役割」で選ぶ

WordPressには、数多くのセキュリティプラグインがあります。

代表的なものとして、

• Wordfence Security
• SiteGuard WP Plugin
• XO Security

などがあります。

ここで注意したいのは、

「セキュリティプラグインをたくさん入れれば、その分安全になる」

とは限らないことです。

複数のプラグインを導入すると、

• ログイン制限
• CAPTCHA
• ファイアウォール
• ログインURL変更
• ブルートフォース対策

などの機能が重複することがあります。

設定が重なると、ログインできなくなったり、正常なアクセスがブロックされたりする原因になる場合があります。

そのため、

プラグインの数ではなく、それぞれの役割を確認して導入すること

が重要です。

例えば、Wordfenceをマルウェアスキャンやファイアウォールの中心として利用し、SiteGuardでは管理画面保護や画像認証などを担当させる、といった役割分担も考えられます。

重要なのは、複数のセキュリティプラグインを使うこと自体を避けることではなく、機能の重複を整理することです。

5．マルウェアスキャンを定期的に行う

セキュリティ対策をしていても、定期的なチェックは必要です。

例えばWordfence Securityには、WordPress本体、テーマ、プラグインなどを検査するスキャン機能があります。

スキャンによって、

• 改ざんされたファイル
• 不正なコード
• マルウェア
• 不審なファイル
• 不正なリダイレクト

などが見つかる可能性があります。

ただし、スキャン結果に「問題あり」と表示されたからといって、すぐにファイルを削除するのは避けましょう。

WordPressの正規ファイルやプラグインの変更が、誤って問題として検出される場合もあります。

まずバックアップを確認し、検出されたファイルの内容と場所を確認してから対応する

ことが大切です。

6．バックアップを「復旧できる状態」にする

マルウェア対策で忘れてはいけないのがバックアップです。

どれだけセキュリティ対策をしても、感染やファイル破損の可能性を完全になくすことはできません。

そのため、

「感染しないための対策」

だけでなく、

「感染したときに復旧するための対策」

も準備しておきましょう。

バックアップでは、

• WordPressのファイル
• データベース
• 画像などのアップロードファイル

を保存します。

また、バックアップを取るだけでなく、実際に復元できるか確認しておくことも重要です。

「バックアップはあるけれど、復元方法が分からない」という状態では、いざというときに困ってしまいます。

7．見覚えのないファイル・ページ・リダイレクトを確認する

マルウェア感染時に注意したいのが、サイトの「見た目では分からない改ざん」です。

例えば、

• 知らないPHPファイルが追加されている
• 見覚えのない管理者ユーザーが作られている
• 知らないページが追加されている
• 特定の条件で海外サイトへリダイレクトされる
• Google検索に見覚えのないページが表示される
• .htaccess が書き換えられている

といった現象です。

特に注意したいのが、条件付きのリダイレクトです。

管理者が確認したときには正常に表示されるのに、検索エンジン経由やスマートフォンからアクセスした場合だけ、別のサイトへ転送されることがあります。

このような手法は、一般的にクローキングを利用した不正リダイレクトとして調査されます。

もし、

「自分がアクセスすると正常なのに、他の人から見ると違うサイトが表示される」

という症状があれば、単純なリンク切れではなく、サーバー、WordPress、テーマ、プラグイン、データベースなどを幅広く調査する必要があります。

マルウェア感染が疑われたときの基本的な調査手順

もしサイトに異常が発生した場合は、慌ててファイルを削除する前に、状況を記録しましょう。

おすすめの順番は次のとおりです。

STEP1　サイトの症状を確認

• どのURLで発生するか
• パソコンとスマートフォンで違いがあるか
• ログイン中とログアウト中で違うか
• 特定のページだけで発生するか

を確認します。

STEP2　WordPress管理画面を確認

• 管理者ユーザー
• プラグイン
• テーマ
• WordPress本体
• 更新状況

を確認します。

STEP3　サーバー側を確認

• WAF
• アクセスログ
• エラーログ
• .htaccess
• 不審なファイル

などを調べます。

STEP4　セキュリティスキャン

Wordfenceなどのセキュリティツールを利用して、ファイルやサイトの状態を確認します。

STEP5　バックアップからの復旧を検討

感染範囲が広い場合は、個別にファイルを削除するより、感染前の正常なバックアップから復旧する方法が適切な場合があります。

---

上記の組み合わせを導入する際の手順です。

初心者向けWordPressセキュリティ対策チェックリスト

最後に、まず確認してほしい項目をまとめます。

チェック項目	確認
WordPress本体が最新	□
テーマが最新	□
プラグインが最新	□
不要なプラグインを削除	□
不要なテーマを削除	□
WAFを確認	□
管理者パスワードを強化	□
2要素認証を設定	□
セキュリティスキャンを実施	□
バックアップを取得	□
バックアップからの復元方法を確認	□
不審なユーザーがいないか確認	□
不審なファイルがないか確認	□
不正なリダイレクトがないか確認	□

すべてを一度に完璧にする必要はありません。

まずは、

① 更新

② WAF

③ 強固なパスワード

④ 2要素認証

⑤ バックアップ

の5つから始めてみましょう。

まとめ｜WordPressの安全対策は「一つの機能に頼らない」

WordPressのマルウェア対策で大切なのは、特別な裏技ではありません。

「更新する」

「不正ログインを防ぐ」

「WAFを利用する」

「セキュリティスキャンを行う」

「バックアップを取る」

そして、

「異常があったときに調査できる状態にしておく」

ことです。

セキュリティプラグインも、たくさん入れることが目的ではありません。