日本のWordPress 約15％がユーザーID丸見え、4割がログイン画面むき出し！ 18万サイトを調査【プライム・ストラテジー調べ】

プライム・ストラテジーは、2024年3月1日から1年間、日本企業・団体などで利用されているWordPressサイト約18万件を調査した。

日本のWordPressサイト約18万件を調査

日本企業・団体のWordPressサイト約18万件のうち15.3％でユーザーIDがインターネットで閲覧できる状態であることが判明した。

Basic認証が設定されていないサイトの41.9％で、ログイン画面にアクセス可能であることが判明した。

WordPressの改ざんの原因の一つが、ブルートフォース（パスワード総当たり）攻撃やID/パスワードの管理不足による管理画面への侵入である※。ログイン画面に容易にアクセスできる、ユーザーIDが確認できる状態は、これらのリスクを高めることになる。

管理画面のアクセス制限が適切か確認する方法

「IDやパスワードを記憶させてない状態のブラウザ」や「シークレットモード」を使用して、管理画面にアクセスする。

• Basic認証が表示される場合： アクセス制限がかかっている
• 直接ログインフォームが表示される場合： アクセス制限が適切に設定されていない可能性がある

ユーザーIDがインターネット上で閲覧可能か確認する方法

管理画面のセキュリティだけでなく、ユーザーIDが外部に漏れていないかも確認する必要がある。対象となるWebサイトのURLの後に「/?author=1」を追加し、エンターキーを押す。

この操作でユーザーIDが含まれるユーザーページが表示された場合、IDが外部に漏れている可能性がある。この設定を無効化することでユーザー情報の流出を防げる。

調査概要

• 【調査対象】.jpドメイン、またはHTMLで言語を日本語に設定しているWordPressサイト182,405サイトをランダムに抽出
• 【調査期間】2024年3月1日～2025年2月28日（1年間）