WordPressのログインページに1日140回超のアクセス？Xサーバーのログ分析で分かるセキュリティ対策

「うちのホームページ、誰かに狙われているのでは？」と聞くと、大げさに感じるかもしれません。ですが、レンタルサーバーのアクセスログ（来訪の記録）を開くと、ログイン画面や設定ファイルを探るような不審なアクセスが、実際に記録されています。

マイアイランドが管理しているサイト（Xserver・WordPress）で、2026年11月1日から8日早朝までの7日分（約67,000件）のログを調べました。マイアイランドの管理作業と思われるアクセス（約8,000件）は除いています。すると、ログイン画面や設定ファイルをのぞきに来るアクセスが、ほぼ毎日ありました。

お店でいえば、閉店後の店の玄関や窓が開くかどうかを、関係のない人が毎日のように試しに来ていた状況です。なお、ここでの件数は「サーバーに記録された回数」です。人間のアクセスとは限りませんし、名乗っている情報（ユーザーエージェント）は偽装もできます。相手の意図を断定するものではありません。

1週間のログ早見表

1週間のログには、ログインを試す動き、使われていない入口を叩く動き、設定ファイルをのぞく動きが記録されていました。主な件数は次のとおりです。

アクセスログとは？防犯カメラの録画だと思ってください

アクセスログとは、いつ・どこから・何を見に来たかを、サーバーが自動で記録したものです。お店でいえば、防犯カメラの録画にあたります。専門用語は、次のように言い換えると分かりやすくなります。

ステータス（応答の種類）の読み方

ログの1行に書かれていること

エックスサーバーでの確認方法

1週間のログで見えた5つの動き

1週間のログで目立った動きは5つあります。それぞれ、例えとあわせて見ていきます。

① ログインページは、ほぼ毎日アクセスがあった

WordPressのログインページ（wp-login.php）には、1週間で492回のアクセスがありました。最も多かった日は141回です。お店でいえば、閉店後の玄関が開くかどうかを、関係のない人が何度も試しに来ているイメージです。日別に見ると、次のとおりです。

日付は、その日の朝から翌朝までの約24時間分のログです。最多の141回のうち96回は、ある1分間の集中アクセス（③）でした。それを除いた日ごとの回数は、15〜66回程度です。「毎日140回来ている」のではなく、「静かな日と、集中する日がある」というのが実態です。

② 「裏口」のXML-RPCにも、204回のアクセス

XML-RPC（xmlrpc.php）には、1週間で204回のアクセスがあり、約7割の146回は403で止まっていました。XML-RPCとは、外部のアプリからWordPressを操作するための、昔からある入口です。使っていなければ、「開けっぱなしの裏口」になりかねません。200（応答した）になった58回のうち、50回は③の1回目の集中アクセスの一部です。

③ 同じ型の集中アクセスが、別々の相手から3回

ログインページ・XML-RPC・管理画面という3つの入口を、1〜2分間で約50回ずつ試す動きが、3回記録されていました。いずれも別のIPからの、同じ型のアクセスです。

1回目の相手は、さまざまなスマホの機種名を名乗りながらアクセスしていました。管理画面に入れた記録はなく、50回すべてが401で止まっています。ただし、ログインページとXML-RPCへのPOSTは200です。200は「成功」ではなく「応答した」という意味なので、成否はログインの履歴など別の記録で確認する必要があります。

同じ型のアクセスでも、1回目は200、2回目と3回目は403でした。この違いの理由は、アクセスログだけでは分かりません。

④ 設定ファイルを探す動きは、名前を変えながら続いていた

「.env」などの設定ファイル探しは、1週間で2,416回ありましたが、中身が返った記録はありませんでした。「.env」は、サイトの設定情報が書かれていることがあるファイルです。「.env.bak」「.env.production」のように名前を変えながら、他人の家の引き出しを順番に開けて、鍵や書類が入っていないか探して回るような動きです。

設定ファイル（wp-config.php）への応答が200になったものが3件ありますが、送信量はいずれも0バイトで、中身は返っていません。

⑤ 1分間に470回のアクセス。サーバーが「来すぎです」と制限

11月6日の午前11時台に、あるIPが1分間で470回のアクセスをしました。うち136回は、サーバーが「来すぎです」（429）と制限しました。残りの大半は、存在しない場所への404（300回）です。

ログから言えること・言えないこと

ログで言えるのは「探しに来た記録がある」ことまでです。「侵入された」とも「守りが効いた」とも、ログだけでは言い切れません。防犯カメラの映像だけでは、「誰が何のために来たか」まで分からないのと同じです。

だからこそ、ログは他の記録と合わせて読み解くことに価値があります。

サイトを守る基本の7つ

守りの基本は、入口を守る、不要な入口を閉じる、公開してはいけないものを置かない、の3つです。マイアイランドが管理している対象サイトでは、ログイン画面に「人かどうかを確かめる仕組み（reCAPTCHA）」と「もう一段の合言葉（ベーシック認証）」を設けています。ただし、これだけで十分とは考えていません。

入口を守る仕組みは、ログでの見え方が違います

1〜3と7は、マイアイランドが実務で大切にしている考え方です。4〜6は、IPAのチェックポイントやWordPress公式のガイドにも通じる基本です。IPAは、これらの対策を「定期的に確認する必要がある」としています。

ログの読み解きは、マイアイランドにご相談ください

ログは、数万行の中から「普通」と「怪しい」を見分ける作業が一番むずかしいところです。件数の多さだけでは判断できません。管理者本人のアクセス、検索エンジンやAIの巡回、不審なアクセスが混ざっているためです。マイアイランドでは、次の流れでアクセスログの分析のご相談をお受けします。

こんな方は、ぜひご相談ください

たとえば、次のようなお悩みをお持ちの方は、お気軽にご相談ください。

ひとつめは、ログを開いたものの読み方が分からない方です。「どれが普通のアクセスで、どれが怪しいのか」は、数万行のログを仕分けしないと見えてきません。アクセスの仕分けと見方を、一緒に整理します。

ふたつめは、対策は入れたものの、効果が分からない方です。403や401が記録されていても、「どの設定が効いたのか」はログだけでは判断できません。設定とログを照らし合わせて、対応関係を確認します。

みっつめは、ログインを試された形跡が気になる方です。「ログインに成功されていないか」を確かめるには、ログインの履歴など、アクセスログ以外の記録との照合が必要です。他の記録と合わせて、状況を整理します。

「うちのサイトは大丈夫？」と気になったら、まずはお気軽にご相談ください。

よくある質問

まとめ

マイアイランドが管理しているサイトの1週間分のアクセスログを調べると、ログイン画面や設定ファイルを探るような不審なアクセスが、実際に記録されていました。ログインページへのアクセスは492回、設定ファイル（.env）探しは2,416回ありましたが、設定ファイルの中身が返った記録はありませんでした。

数字の見方には注意が必要です。最多日の141回のうち96回は、ある1分間に集中したアクセスで、「静かな日」と「集中する日」があるのが実態でした。また、ログで言えるのは「探しに来た記録がある」ことまでです。ログイン成功の有無や、403になった理由などは、他の記録と合わせて読み解く必要があります。

守りの基本は、ログインの入口を二重にする、使わない入口を閉じる、公開してはいけないものを置かない、の3つです。あわせて、更新、バックアップ、ログの定期的な確認も欠かせません。

「自社のログには何が映っているのか」「今の対策は足りているのか」が気になる方は、マイアイランドまでお気軽にご相談ください。

渡部新一

渡部新一 （中小企業向けWebマーケティングアドバイザー/Web事業歴17年）

「良い会社なのに、お客様に見つけてもらえない」。そんな中小企業様の課題を、Web事業17年の経験で解決してきました。貴社の強みを丁寧に掘り起こし、検索で選ばれるコンテンツへと磨き上げます。地域一番を目指すWeb担当者様の、伴走パートナーでありたいと考えています。