Wordpressでは定期的にログインユーザー名を変更した方が良いかも

WordPressのセキュリティ対策は行っていますか。ついにというか、管理者アカウント名は定期的に変えなければいけないな、と思う事態が発生しましたのでここに書いておきます。

管理者アカウントを狙った不正ログイン攻撃

WordPressで、管理者アカウント名としてよく使われる「admin」を狙った攻撃が登場したこともあり、セキュリティ対策として毎日攻撃してくるIPアドレスをチェックして、特定のIPアドレスによるアクセスを禁止しています。もう毎日毎日違うIPアドレスから攻撃してくるので、イタチごっこな気分です。

ちなみに、攻撃しているIPアドレスはプラグインの「Crazy Bone」で、特定IPアドレスのアクセス禁止はプラグイン「WP-Ban」を使っています。詳しくは、この記事をご参考に。

以前から気づいていたことではありますが、不正ログイン攻撃を行ってくるのは「admin」だけではありません。適当な英語名でランダムに攻撃してくる場合が多くなってきていました。よくありがちな名前をリスト化して攻撃しているのでしょう。攻撃する側としては、ある意味当然の考えであります。

ただ、本当適当な名前だったので静観していたのですが、ついに自分のログイン名でアタックしてきている形跡が見つかりました。いや、見つけたときはちょっと冷や汗でしたね。

一応、複数回ログイン失敗するとアカウントロックするようにしているので、パスワードとの組み合わせもクリアしないと乗っ取られないわけですが、ひとまず防御するために新しい管理者を作成して、今の管理者を削除しました。そのとき、投稿を引き継ぐのを忘れずに。これまで書いた記事が消えちゃうので。

というわけで、定期的に管理者アカウントの名前やパスワードは変更しておきましょう。