シリーズの最終回です。
ここまで、起きたあとどうするかを4回にわたって書いてきました。
最後は、起きないようにする話です。
ただ、先に認めておくことがあります。
防げない場合があります
第1回で書いたとおりです。
2026年8月のさくらインターネットの件では、事業者側の管理環境を経由して、顧客の環境に到達しています。
利用者の入口は、通っていません。
つまり、パスワードをどれだけ強くしても、そこは迂回されました。
だから、対策には限界があります
「これをやれば絶対に安全」と言える対策は、ありません。
そう書いてある記事があったら、その部分は疑ってください。
それでも、やる意味はあります
誤解しないでほしいのですが、対策が無意味になったわけではありません。
実際に起きている攻撃の大半は、いまも利用者側の入口を狙っています。 ログイン画面を総当たりで叩く、古いプラグインの弱点を突く。そこは、対策で防げます。
そしてもう1つ。
防げなかったときに、被害をどこまで小さくできるか。 ここも、事前の準備で変わります。
この記事は、その2つを分けて考えます。
全部やろうとしないでください
セキュリティの記事を読むと、やることが20個くらい出てきます。
そして、多すぎて何もやらないまま終わります。 自分もそうでした。
効く順に7つだけ書きます。 上から順にやってください。3つ目まででも、だいぶ違います。
1. バックアップを、別の場所に持つ
これが1位です。
理由
これだけが、「起きたあと」に効きます。
他の6つは、起きないようにするものです。破られたら、何の役にも立ちません。
バックアップだけが、破られたあとに使えます。
そして第4回で書いたとおり、バックアップがないと復旧の道が1つ減ります。
どこに置くか
同じサーバーの中だけ、というのは危ないです。
サーバーごと侵入された場合、バックアップも一緒に触られます。
サーバーの自動バックアップ → あると便利。ただしこれだけに頼らない
別のオンラインストレージ → サーバーが落ちても残る
手元のパソコンや外付け → いちばん確実だが、手間がかかる最低でも、2か所に持ってください。
何を、どのくらいの頻度で
ファイルとデータベースの両方が要ります。片方だけでは復旧できません。
頻度は、更新の多さで決めます。
毎日書いているサイトなら毎日。月に数回の更新なら、週に1回でも足ります。
「失っても諦められる期間」で考えてください。
いちばん大事なこと
戻せるか、一度試してください。
取っているつもりで、中身が空だった。 戻し方が分からなかった。 これは、実際によくあります。
本番で試すわけにはいかないので、テスト用の場所を作って、そこで戻してみてください。
試したことがないバックアップは、あるとは言えません。
2. ログイン試行の制限
2位です。手軽で、よく効きます。
何をするか
何回か間違えたら、そのアクセス元を一定時間止めます。
総当たりは、何千回も試せることが前提です。回数を制限すると、成立しなくなります。
入れ方
セキュリティのプラグインに、たいてい含まれています。
サーバーによっては、管理画面から設定できる場合もあります。「国外IPアクセス制限」といった名前で用意されていることがあります。
注意
自分が締め出されることがあります。
パスワードを何度か間違えると、自分もロックされます。
解除の方法を、先に確認しておいてください。
3. パスワードの使い回しをやめる
3位です。地味ですが、効きます。
なぜ、使い回しが危ないのか
どこか1か所から漏れると、他も全部開きます。
実際、こういう事件のあとには、漏れた組み合わせを使って別のサイトを試す攻撃が起きます。
自分のサイトが破られていなくても、別のサービスから漏れた情報で入られることがあります。
やること
サイトごとに違うパスワードにする。
覚えられないので、管理ソフトを使ってください。 無料のものもありますし、ブラウザに付いている機能でも足ります。
そして、長くしてください。 複雑さより、長さのほうが効きます。
とくに変えるべきもの
・WordPress の管理者
・サーバーの管理画面
・FTP / SFTP
・データベース
・ドメイン管理の画面
・登録に使っているメールアカウントいちばん下を見落としがちです。 メールを取られると、他のサービスのパスワードも再設定されてしまいます。
4. パスワードだけに頼らない
4位です。
二要素認証
パスワードに加えて、もう1つ確認するものを足します。
スマートフォンのアプリに出る数字を入れる、という形が多いです。
パスワードが漏れても、それだけでは入れなくなります。
パスキー
パスワードそのものを使わない方法もあります。
指紋や顔で認証する仕組みです。サーバー側に「破れば通る秘密」が置かれません。
そして、認証のときにドメインが照合されるので、偽サイトでは成立しません。
WordPress でも、プラグインで使えるようになっています。自分でも作って公開しているので、そこは割り引いて読んでください。
どちらにしても
入れなくなったときの逃げ道を、先に用意してください。
スマートフォンを失くした、端末を買い替えた。 そのときに入れなくなります。
回復用のコードを控えておく。 複数の端末に登録しておく。 どちらかは必ずやってください。
5. 更新を止めない
5位です。
なぜ下のほうなのか
大事だからこそ、順位を下げました。
更新は、すでにやっている人が多いからです。自動更新も普及しています。
やっていない人にとっては、実質2位くらいの重さがあります。
何を更新するか
WordPress本体、プラグイン、テーマ、そしてPHP。
PHPを忘れがちです。 サーバーの管理画面から変更できます。古いままだと、本体が対応しなくなります。
更新が怖い場合
更新して壊れるのが怖い、という声はよく聞きます。
だから1位がバックアップなんです。 戻せるなら、更新は怖くありません。
順番が逆になっている人が多いのですが、バックアップが先です。
6. 使っていないものを消す
6位です。
停止だけでは足りません
停止しているプラグインも、ファイルはサーバーに残っています。
そして、更新されません。 弱点が見つかっても、直らないまま置かれます。
使わないものは、削除してください。
消す対象
・停止したままのプラグイン
・使っていないテーマ（標準のものを1つ残せば足ります）
・使っていないユーザーアカウント
・昔作ったテスト用のファイルやフォルダ
・古いバックアップファイル（公開領域に置いているもの）いちばん下は、意外な落とし穴です。 公開されている場所にバックアップを置くと、誰でもダウンロードできます。
7. 権限を絞る
7位です。複数人で運営している場合に効きます。
管理者は、本当に必要な人だけにしてください。
記事を書くだけの人に、管理者の権限は要りません。「投稿者」や「編集者」で足ります。
1人で運営しているなら、この項目は飛ばして構いません。
気休めにしかならないもの
正直に書いておきます。
ログイン画面のURLを変える
機械的な総当たりには効きます。 `/wp-login.php` を叩くだけの攻撃は、来なくなります。
ただ、狙って調べられたら見つかります。 隠しているだけなので。
やる価値はありますが、これで守れたとは考えないでください。
WordPressのバージョンを隠す
ほとんど意味がありません。
他の場所からいくらでも推定できますし、攻撃する側は、そもそもバージョンを確認せずに片っ端から試します。
ユーザー名を隠す
やる価値はあります。 ただ、完全に隠しきるのは難しいです。
投稿者のページ、外部から取得できる情報、ページの中身。経路が多いので、1つ塞いでも別のところから漏れます。
だから、名前が漏れた前提で考えるほうが現実的です。
いちばん怖いのは、気づかないこと
最後に、これを書きます。
このシリーズを通して感じたのは、気づけないことがいちばん怖いということでした。
改ざんは、持ち主に見えないように作られています。 半年気づかなかった、という話も珍しくありません。
気づく仕組みを持つ
自分で毎日確認するのは、続きません。
・ファイルの変更を通知するプラグイン
・ログイン通知（管理者がログインしたら知らせる）
・Google Search Console に登録しておく
・セキュリティプラグインの週次レポートどれも、入れるのは一度きりです。 あとは、届いたものを見るだけ。
そして、見てください
自分は、週次のレポートをほとんど開いていませんでした。
何も起きていないと思っていたので。開いてみたら、実在するユーザー名が狙われていました。
仕組みを入れても、見なければ意味がありません。
シリーズのまとめ
全5回、お読みいただきありがとうございました。
第1回 何が起きたか／自分のサイトを確認する
第2回 管理画面に入れなくなったとき
第3回 マルウェアを見つける
第4回 取り除いて、復旧する
第5回 これからの守り方
「防ぐ」ではなく「起きたあと」から始めたのは、意図があります。
今回の件で、利用者側の対策では防げない経路があると、はっきりしました。
防ぐことだけを考えていると、破られた瞬間に何もできなくなります。
だから、順番を逆にしました。
まとめ
- 事業者側が破られたら、利用者側の対策では防げない
- ただし、実際の攻撃の大半は、いまも利用者側の入口を狙っている
- 全部やろうとしない。 上から順に、3つ目まででも違う
- 1位はバックアップ。 これだけが「起きたあと」に効く
- バックアップは別の場所に、2か所以上。 そして戻せるか試す
- 2位はログイン試行の制限。 総当たりが成立しなくなる
- 3位はパスワードの使い回しをやめる。 メールアカウントを忘れずに
- 4位は二要素認証かパスキー。 逃げ道を先に用意する
- 5位は更新。 怖いなら、先にバックアップを
- 6位は使っていないものを消す。 停止だけでは残る
- 7位は権限を絞る。 1人運営なら飛ばしてよい
- 気休め：ログインURLの変更（一定の効果）、バージョン隠し（ほぼ無意味）
- いちばん怖いのは、気づかないこと。 通知の仕組みを持つ
- そして、届いたものを見る
完璧にはなりません。
ただ、破られたときに戻せる状態にしておくことと、破られたことに気づける状態にしておくこと。 この2つがあるかどうかで、その後がまったく変わります。
まずバックアップから、始めてみてください。
※本記事の情報は2026年8月時点のものです。
