不正ログイン対策、管理画面は「パスワードを強く」だけでは守れない──総当たり・リスト型攻撃・退職者のIDに、制限・二要素・棚卸しの3つで備える

この記事は、顧客サイトの管理画面への不正ログイン対策を、総当たり（ブルートフォース）攻撃とリスト型攻撃への備えを中心に扱います。

ログインの失敗が、一晩で数千回並んでいた

サーバーのログを開いたら、管理画面のログインの失敗が、一晩で数千回並んでいた。
制作会社なら、一度は見たことがある光景かもしれません。

多くの場合、入られてはいません。
けれど、同じパスワードを別のサービスでも使っていたら、話は変わります。

警察庁・総務省・経済産業省の「不正アクセス行為の発生状況」（令和8年3月公表）では、令和7年に検挙された不正アクセス行為の90%以上が、他人のIDやパスワードを使う「識別符号窃用型」（399件）でした。手口で最も多いのは「パスワードの設定・管理の甘さにつけ込んで入手」（84件）、次いで「フィッシングサイトから入手」（77件）です。「識別符号を知り得る立場にあった元従業員や知人等による犯行」も61件ありました。

不正ログイン対策とは、正しいIDとパスワードを入れられても、本人でなければ入れない状態を作り、入ろうとする試みに気づけるようにすることである

黒字化の外科医です。管理画面の不正ログインを、3つの攻め方と3つの守り方に分けて解剖します。

攻め方を、ここでは仕組みの概要だけ押さえます。

• 総当たり（ブルートフォース）：パスワードの候補を、機械的に大量に試す
• リスト型攻撃（パスワードリスト攻撃）：他のサービスから漏れたIDとパスワードの組み合わせを、そのまま試す
• 正規の鍵の流用：退職者や元外注先が知っているIDで入る

守り方を3つに分けるべき理由は、三つあります。

第一に、強いパスワードは総当たりには効くが、リスト型攻撃には効かないから。
どれだけ長いパスワードでも、別のサービスで使い回していて、そこから漏れていれば、そのまま入られます。

第二に、パスワードは盗まれる前提で考える必要があるから。
フィッシングで盗まれたパスワードは、強さに関係なく使われます。だから、パスワードの外にもう一つの確認（二要素認証）を置きます。

第三に、正規の鍵を持つ人が、敵になることがあるから。
同じ資料は、アクセス管理者の講ずべき措置として、利用する立場でなくなった人のIDの削除やパスワードの変更を速やかに行うことを挙げています。

今すぐ試せる：管理画面のログインを点検するプロンプト

私はWeb制作会社の経営者です。顧客サイトの管理画面について、不正ログインへの備えを点検してください。

【前提】
・管理画面のURLと、ログインできるアカウントの一覧（役割・持ち主）：〔　〕
・パスワードの決め方のルール：〔　〕
・二要素認証の有無：〔　〕
・ログイン試行の回数制限の有無：〔　〕
・ログインの失敗を記録・通知しているか：〔　〕

1. 総当たり、リスト型攻撃、正規の鍵の流用の3つについて、今の備えで足りているかを判定する。
2. 足りない項目を、顧客の手間が少ない順に並べる。
3. 顧客への説明文を、専門用語を使わず5行で書く。

攻撃の具体的な手順は書かないこと。

不正ログイン対策工場：制限・二要素・棚卸し

1. 試行を制限する（総当たりへの備え）

□ 一定回数の失敗で、一時的にログインを止める
□ 大量の試行を、サーバーやWAFの段階で遮断する
□ 使っていないログインの入口（API・外部連携など）を閉じる
□ ログイン画面へのアクセスを、可能なら接続元で絞る

IPAも、警察庁などの同じ資料の中で、システム管理者向けに「ウェブサイトへの大量ログイン試行発生の警告表示や遮断機能の導入」を勧めています。

2. 二要素にする（リスト型攻撃・フィッシングへの備え）

□ 管理者権限を持つ全員に、二要素認証を設定する
□ 予備の確認手段（バックアップコードなど）の保管場所を決める
□ 可能なら、フィッシングに強い認証（パスキーなど）を検討する

同じ資料は、ワンタイムパスワード等の二要素認証に加え、パスキーのようなフィッシングに耐性のある認証技術の導入も挙げています。

3. 鍵を棚卸しする（正規の鍵の流用への備え）

□ 管理者権限を持つアカウントを、四半期ごとに一覧にする
□ 退職者・契約終了した外注先のアカウントを、その日のうちに削除する
□ 共有アカウント（全員で同じIDを使う）をやめ、1人1アカウントにする
□ 「admin」などの推測しやすいユーザー名を使わない

1人1アカウントにすると、ログを見たときに「誰が」入ったかが分かります。共有アカウントは、事故の日に原因を辿れなくします。

ログインの失敗が増えたときの最初の一手

1. 成功したログインに、見覚えのないものがないか確認する
2. 管理者アカウントが勝手に増えていないか確認する
3. 失敗の記録と時刻を、そのまま保存する
4. 試行の制限・遮断の設定が効いているか確認する
5. 成功した不審なログインがあれば、初動対応に移る

失敗が並んでいるだけで、成功がないなら、慌てる必要はありません。見るべきは「成功したログイン」です。

▶ アクセスログの解析で不正の兆候を見る──制作会社の月次確認、見る項目6つ、保存期間の決め方、保守報告への組み込み方

構造的なリスク

逆説を指摘しておきます。

ログインの制限を厳しくするほど、正規の利用者が締め出される事故が増えます。
顧客の担当者がパスワードを3回間違えて、ロックされ、制作会社に電話がかかってくる。対応のたびに、時間が溶けていきます。

だから、ロックされたときの解除の手順と、誰が対応するか、保守の範囲か別料金かを、先に決めておいてください。

▶ WordPress ログイン 対策は二段階認証を「入れて終わり」にしない──管理者の絞り込み、試行の制限、顧客への説明、ロックアウト時の解除手順

よくあるQ&A

Q. ログイン画面のURLを変えれば、十分か？

URLを変えると、機械的な試行は減ることがあります。けれど、それだけを守りにするのは危険です。制限・二要素・棚卸しの3つと組み合わせてください。

Q. 顧客の社員が多く、全員に二要素認証を求めるのは難しい。

まず管理者権限を持つ人から始めます。投稿だけをする人は、権限を投稿者に下げるだけでも、被害の範囲を小さくできます。

Q. パスワードを定期的に変えさせるべきか？

総務省の「国民のためのサイバーセキュリティサイト」は、流出や乗っ取りの事実がなければ定期的な変更は必要ないとし、サービスごとに使い回さないことと、流出時に速やかに変えることを勧めています。

最後に

不正ログイン対策は、強いパスワードだけでは完成しません。

試行の制限、二要素、鍵の棚卸しの3つを保守の手順にした会社だけが、盗まれたパスワードからも顧客の管理画面を守れるのです。

制作会社が取るべき対策の全体像は、こちらにまとめました。

▶ 不正アクセス対策、制作会社は顧客サイトを「鍵・更新・権限・監視・記録」で守る──保守の全体像と、顧客に説明できる点検表

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #不正ログイン #不正アクセス対策 #ブルートフォース #二要素認証 #パスワード管理 #制作会社経営 #中小企業 #セキュリティ保守 #管理画面