WordPressのサイトを運営されている方であれば分かると思いますが、管理画面にログインするためには｢ユーザー名（author）｣と｢パスワード｣が必要です。
このユーザー名は、サイトを乗っ取られるリスクを避けるため、できればあまり知られないほうが良いのですが、対策をしっかりしていないサイトは、ユーザー名がバレてしまい、ブルートフォースアタック（総当たり攻撃）を受けると、サイトを乗っ取られてしまいます。これってすごく危険です。
今回はWordPressのサイトのユーザー名を特定方法と、その対策を紹介します。
ユーザー名を特定されないように対策しているサイトは少ない
ある会社の部長さんからあった本当の話です。（名称などは仮名を使っています。）
実はちょっと相談があるんですが、お時間もらえませんか？
何かあったんですか？
ウチのホームページはWordPressっていうのを使っていて、自社内でコンテンツを管理しているんだけど。
もしかして、困っているというのはそのサイトに関することですか？
ちょっとの沈黙
わたしは管理画面上で、投稿ページや固定ページでHTMLで編集できるぐらいで、そんなにWordPressについて詳しくないんですよ。
○×△○×△○×△.net/wp-admin
です。
info@○×△○×△○×△.net
にメールが届きました。パスワードリセットできました。
藤本さん、本当にありがとうございました。
ユーザー名の特定方法
この短時間でウチの会社のコーポレートサイトをハッキングとかしたんですか？
セキュリティ対策していないサイトはほとんど分かっちゃうんですよ。
今回いろいろ助けていただきましたし、そのセキュリティ対策を最低レベルは実施したいので、（非公表）円くらいでちょっと仕事としてやっていただけませんか？
そしてもっとサイトのセキュリティに対する意識をあげてもらおう。
今度は｢ /?author=2 ｣ と入力してエンターキーをおしてもらえますか？｣
①ユーザー名が外部流出しないようにする
②パスワードを複雑なものに設定する
③指定IP以外は管理画面へのアクセスを遮断するなど、その他多々。
といったように、対策はいろいろありますけど、
①と②はやっておきましょう。
さきほど｢ /?author=1 ｣ と入力したら、ユーザー名が表示されましたが、それを回避する方法を教えますね。
ユーザー名の特定を回避する方法
<?php wp_redirect(home_url()); exit();
ふむふむ。phpファイルを作成するんですね。
アップする場所は、
｢wp-content/themes/(使っているテーマ名)｣の直下です。
アップしたら先程のように御社のサイトの後ろに｢ /?author=1 ｣ と入力してもらい、エンターキーをおしてもらえますか？
パスワードの重要性
この人、超能力とか使っているんじゃないの？怖い…。
例えばこのサイトに掲載されているようなパスワードとか、会社の電話番号とか、そういう単純なものは絶対に辞めてください。絶対にです。
WordPressならユーザー作成時にパスワードが｢強力｣と表示されるようなものにして欲しいです。
確かにコーポレートサイトだから乗っ取られたら大変です。今後はこのような複雑なパスワードにします。
まとめ
いかがでしたか？ちょっと長文になりましたが、WordPressサイトで無料テーマなどを使っている場合は、この特定方法でユーザー名がバレてしまいます。
ユーザー名がバレてしまうことは、そこまでマズイというわけではないのですが、少し知識がある人なら、ユーザー名から推測していろいろな手段を使えば、パスワード認証に成功され、サイトにハッキングされ、情報を抜き出されたり、サイトを乗っ取られるかもしれません。
（※実はサイトをハッキングされても、普通の人は気づかないことの方がほとんどです。ハッキングする人たちは、足跡を残さないように侵入して、顧客情報などを盗むなどしますが、それに気づく方法はあまりありません。仮に侵入してソースコードを書き換えても、Googleサーチコンソールなどのツールで、サイト運営者がパスワードが破られたことに1ヵ月後に気づくぐらいだと思います。）
企業が運営するサイトで個人情報が抜かれたら、企業の存続に関わる事態になりかねません。
もちろん、個人サイトだって侵入されたら気持ち悪いですよね。
しっかり対策してください。
コメントを残す