【要注意】セキュリティプラグインWordfenceが勝手に無効化される?原因と対処法を解説

近年、WordPressユーザーの間で大きな話題となっているセキュリティ問題の一つが、「Wordfenceが自動的に無効化される」という現象です。有名なWordPressセキュリティプラグインであるWordfenceが、何者かによって勝手に無効化・削除されてしまい、被害を受けたユーザーにはメールで通知が届くというものです。

攻撃の原因はJetpackにある可能性も

この攻撃の主な原因とされているのが、Jetpackプラグインの存在です。漏洩した認証情報を悪用したハッカーが、Jetpackを「入り口」にしてサイトへ侵入しているケースが報告されています。

JetpackがWordPressサイトに連携されている場合、サイト管理者アカウントと同等の権限を持つことになります。Jetpackは非常に広く利用されているため、攻撃者はこのような人気プラグインを標的にし、スクリプトやマルウェアを注入しようとします。結果として、攻撃者はサイトの完全な制御権を手に入れ、プラグインの無効化やインストールを自由に行えてしまうのです。

主な症状チェックリスト

• Wordfenceが自動的に無効化される
• Wordfenceが自動的に削除される
• プラグイン名の確認。「Wordfence Security」以外の表記になっていたら侵入された可能性大。例:「Wordfence – Anti-virus, Firewall and Malware Scan. Versión 7.1.8 | By Wordfence」や小文字の「wordfence」
• 見覚えのない新規ユーザーが作成されている
• 不明なファイルや改ざんされたファイルが存在する
• 管理ダッシュボード内に不審なリダイレクトリンクがある
• サイトが怪しいページへ勝手にリダイレクトされる

対処方法：強力なパスワードと二段階認証の導入

まず基本として、推測されにくい強力なパスワードを設定することが重要です。さらに、WordPressのログインには二段階認証(2FA)を有効にすることを強くおすすめします。

二段階認証では、ログイン時にパスワードの入力に加えて、モバイルデバイスによる本人確認が必要になります。この仕組みの優れた点は、仮にパスワードを推測されたり破解されたりしても、攻撃者があなたのモバイルデバイスにアクセスできなければ、アカウントに侵入できないという点です。

WordPress.comでは、モバイルデバイスを利用した二段階認証が提供されています。複数の方法のいずれかでコードを送信することで本人確認を行い、一度デバイスが認証されると、以降パスワードでログインするたびに新しいコードが送信されます。このコードを入力しなければログインできません。ログインプロセスに小さなステップがひとつ増えるだけですが、サイトのセキュリティは大幅に向上し、不正ログインを効果的に防止できます。

WordPressで二段階認証を設定する具体的な手順については、公式ガイドや信頼できるチュートリアルを参照して、今すぐ設定しておきましょう。

上記の対策を実践することで、Wordfenceが自動的に無効化されるリスクを大幅に減らすことができます。

また、弊社のセキュリティ専門家が作成したWordPressセキュリティチェックリストを活用すれば、マルウェア感染のリスクをさらに低減できます。

あわせて、セキュアコーディングプラクティスのチェックリストも参照し、脆弱性の削減に努めてください。