【スパム対策】Wordpressにユーザーが勝手に追加される！？
先日、Wordpressでブログを制作しているとユーザーが勝手に追加されていることに気づきました。
しかも管理者権限です。
スパムユーザー
この現象がすごくしつこくて、なんど削除しても数日後に復活してきます。
なんで勝手に管理者ユーザーが追加されるの？
ブログに悪いことされていないかな！？
なぜかもわからないし、どうしたら良いかわからなくてすごく不安でした。
試行錯誤の結果、スパムユーザーが勝手に追加される現象がなくなったので、その対策をご紹介しますね。
【問題】Wordpressで勝手にユーザーが増えている
先日、Wordpressの管理用のメールアドレスにユーザーが追加されたメールが届きました。
ワードプレスユーザー追加通知
ん？ユーザー追加なんてしてないぞ？
と疑問に思いながら、Wordpressを確認してみると、知らないユーザーが追加されています。
スパムユーザー
しかもこのスパムユーザーが管理者権限でしたので、ブログの投稿でも編集でも削除でもパスワードの変更でもなんでも出来てしまうことになります。
すぐにこのスパムユーザーを削除しましたが、すぐに復活してしまって、どうにもなりません。
この時点で、どうやら、このブログがスパム攻撃されていることを確信しました。
最終的にスパムユーザーが勝手に追加される現象はなくなりましたので、その具体的な方法を解説していきますね。
【対策】Wordpressで勝手に増えるユーザーをブロックする方法
パスワードを変更する
まずは管理者権限を所有しているユーザー（通常は自分のアカウント）のパスワードを変更しました。
簡単に推測できるパスワードを設定している場合はランダムに生成されるパスワードを設定し直します。
僕はこの段階では効果がみられませんでした。
新規登録不可にする
WordPressの設定で、新規ユーザー登録を不可にしておきましょう。
wordpress新規登録不可
こちらのチェックを外しておきます。
ついでに、新規ユーザーのデフォルト権限が管理者になっている場合は、購読者に変更しておきましょう。
僕はこの段階でも、勝手に管理者としてユーザー追加される現象が止むことは有りませんでした。
Xserverで海外からのアクセスを不可にする
Xserverを使用している場合は海外からのアクセスを不可にするよう、設定しましょう。
スパムアクセスは主に海外から行われるので、それらをブロックすると改善する可能性があります。
すべて「ON」にして、設定を保存しましょう。
Xserverでログイン試行回数制限をONにする
WordPressセキュリティ設定→国外IPアクセス制限設定→ログイン試行回数制限設定
なんどもログインをトライして、たまたまパスワードが正解してしまって、ログインされることを防ぐためです。
「ON」にしましょう。
この段階でも、勝手にユーザーが追加されてしまいました。
UserSpamRemoverを導入する
これまでの設定で、スパムユーザー登録がやまない場合は、アンチスパム系のプラグインを導入します。
最初にUserSpamRemoverを導入しましょう。
こちらは、スパムユーザーを自動削除するプラグインです。
万が一、勝手にユーザーが自動追加されても自動で削除してほしいときに、保険として導入すると効果的です。
具体的にはこのように設定すると、勝手にユーザーが追加され次第、削除するようになります。
①「Check to enable automatic removal of never-used accounts」にチェックを入れる。
②「Age threshold」を「0」にする。
③「User WhiteList」に自分のユーザー名を記入する。
※つかっているユーザー名が複数ある場合は、コンマ区切りで記入する
この時点で、勝手に追加された管理者ユーザーが存在し続ける現象はなくなりました。
しかし、一時的に勝手にユーザー追加されていることがわかります。
「2020-05-10….Removed 1 unused user account older than 0 days」とログ表示があるからです。
「勝手にユーザー追加されたけど、削除しておいてあげたよ。」という意味ですね。
すこし安心ですが、ユーザーの追加自体は勝手に行われているため、次の設定で、勝手にユーザー追加されないようにしましょう。
Anti-Spam by cleanTalkプラグインを導入する
Anti-Spam by cleanTalkプラグインを導入することでスパムユーザー追加現象が完全になくなりました。
「Anti-Spam by CleanTalk has blocked 6 spam」という表示が、「6回のユーザー追加をブロックしたよ」という意味だと思っています。
(断定はできませんが)
これで、安心してブログを執筆することに専念できますね！
まとめ
勝手にユーザーが追加されるってすごく不気味だし、ブログを乗っ取られる可能性もあるわけで、すごくリスキーですよね。
今回は、管理者権限ユーザーが勝手にWordPressに追加されたときの対処法について、実際に解説した手順をふまえてくわしく解説しました。
トラブルはサクッと終わらせて、ブログの更新、頑張っていきましょう！
コメント