WordPressの被害の多くは、使い回したパスワード、放置された更新、偽のメールに誘導されたログインなど、運用する人の行動をきっかけに起きます。セキュリティトレーニングは、サイトに関わるメンバー全員が「やってはいけないこと」と「異変に気づいたときの動き方」を同じ基準で身につけるための取り組みです。この記事では、対象者の決め方、研修で扱う内容、練習用環境の用意、研修後に定着させる仕組みまでを、そのまま社内で使える形で解説します。
まず対象者と役割を整理する
研修の内容は、サイトでの権限によって変わります。最初にユーザー一覧を出して、誰がどの権限を持っているかを確認します。WP-CLIが使える環境なら、次のコマンドで一覧を取れます。
# 全ユーザーのログイン名・メールアドレス・権限グループを一覧表示
wp user list --fields=ID,user_login,user_email,roles
# 管理者だけを抽出
wp user list --role=administrator --fields=ID,user_login,user_email一覧を作ると、退職者のアカウントが残っている、制作会社に渡した管理者アカウントがそのまま、といった問題が見つかることがよくあります。研修の前にこれを片付けておくと、「なぜ権限を最小限にするのか」を具体例で説明できます。
対象者はおおむね次の3つに分けると、内容を絞りやすくなります。
- 管理者：プラグインの導入・更新、ユーザー管理、バックアップと復旧を担当する人
- 編集者・投稿者：記事を書く・公開する人。ログインはするが、サイト設定には触れない
- 外部の協力者：制作会社、保守業者、ライター。一時的にアカウントを渡す相手
全員に共通の基礎編を受けてもらい、管理者には運用編を追加する、という2段構成が現実的です。
研修で扱う内容
基礎編（全員）
基礎編の目的は、日々のログインと連絡のやり取りで事故を起こさないことです。
- パスワードと二要素認証：他のサービスと同じパスワードを使わないこと、パスワード管理ツールの使い方、二要素認証の設定方法。実際に各自のアカウントで二要素認証を有効にするところまで研修時間内に行うと、後回しになりません。
- 偽のメールとログイン画面の見分け方：「アカウントが停止される」「至急更新が必要」といった文面で偽のログイン画面へ誘導する手口があります。メール内のリンクからログインせず、ブックマークから管理画面を開く習慣をつけてもらいます。
- パソコンとブラウザーの管理：共用パソコンでログインしたままにしない、ブラウザーの拡張機能をむやみに追加しない。
- 報告の手順：「怪しいメールのリンクを押してしまった」「見覚えのない投稿がある」と気づいたとき、誰にどの手段で連絡するか。
最後の報告の手順は特に重要です。被害を小さくできるかは、気づいてから連絡が来るまでの時間でほぼ決まります。「報告した人を責めない」と研修の場で明言しておくと、連絡をためらう人が減ります。
運用編（管理者）
管理者向けには、サイトそのものを守る作業を扱います。
- 更新の運用：本体・プラグイン・テーマの更新をいつ、誰が、どの手順で行うか。更新前のバックアップと、更新後の表示確認までを1セットにします。
- プラグインの選び方：長期間更新されていないもの、配布元が不明なものを入れない。不要になったプラグインは停止ではなく削除する。
- 権限の最小化：記事を書くだけの人には「投稿者」や「編集者」を割り当て、管理者は必要な人数に絞る。外部の協力者には作業期間だけアカウントを発行し、終わったら削除する。
- 管理画面からのファイル編集を止める：
wp-config.phpにdefine( 'DISALLOW_FILE_EDIT', true );を加えると、管理画面のテーマ・プラグインのファイルエディターが使えなくなります。乗っ取られた場合の被害を抑える設定として説明します。 - 改ざんの確認と復旧：コアファイルの改ざんを確かめる方法と、バックアップから戻す手順。
コアファイルの確認は、WP-CLIで次のように行えます。
# WordPress本体のファイルが公式の配布物と一致しているか確認
wp core verify-checksums
# 更新が出ているプラグインを確認
wp plugin list --update=availablewp core verify-checksums は本体のファイルだけが対象で、プラグインやテーマ、wp-content/uploads 内に置かれた不審なファイルは検出できません。研修では「何が分かって、何が分からないか」まで伝えておくと、結果を過信しなくなります。
練習用の環境を用意する
研修では、本番サイトではなく練習用のサイトを使います。本番で二要素認証の設定を試して管理者がログインできなくなったり、プラグインの削除を練習して表示が崩れたりするのを避けるためです。
本番のコピーを使う場合は、次の点に注意します。
- 本番のデータベースには利用者の個人情報が含まれます。コメントや会員情報を含むコピーを研修用に配るのは避け、可能なら個人情報を消したデータか、新規の空のサイトを使います。
- 練習用サイトから本番の利用者へメールが送られないよう、メール送信を止めるプラグインやサーバー設定を入れておきます。
- 検索エンジンに表示されないよう、「設定」→「表示設定」の検索エンジンに関する項目を有効にし、可能ならBasic認証もかけます。
練習用のアカウントは、権限ごとに作っておくと便利です。
# 練習用のユーザーを権限別に作成（パスワードは自動生成され、画面に表示される）
wp user create trainee-author trainee-author@example.com --role=author
wp user create trainee-editor trainee-editor@example.com --role=editor投稿者のアカウントでログインしてもらい、「プラグインのメニューが見えない」「他の人の記事は編集できない」ことを実際に確かめてもらうと、権限の違いが体感で伝わります。
演習の進め方
講義だけでは、実際の場面で動けるようになりません。次のような短い演習を組み合わせると効果的です。
机上演習（インシデント対応の練習）
「見覚えのない管理者ユーザーが増えている」「トップページに別サイトへのリンクが表示されている」といった状況をカードにして配り、誰が何をするかをその場で話し合ってもらいます。確認したい流れは次のとおりです。
- 気づいた人が、決められた連絡先に報告する
- 管理者が状況を確認し、必要ならサイトをメンテナンス表示にする
- 不審なユーザーを削除し、全員のパスワードを変更する
- 改ざんされたファイルを特定し、バックアップから復旧する
- 侵入の経路を調べ、同じ穴を塞ぐ
ログイン中のセッションを強制的に切る操作は、WP-CLIの wp user session destroy ユーザー名 --all でできます。演習の中で、練習用サイトで実際に実行してもらうと手順が身につきます。
偽メールの見分け演習
実際に出回った手口を参考にした例文を数通用意し、どこが不自然かを探してもらいます。送信元のドメイン、リンク先のURL、急がせる文面などが着眼点です。抜き打ちで模擬の偽メールを送る訓練を行う場合は、事前に責任者の了承を得て、実施後は個人名を出さずに全体の傾向として結果を共有する、といった配慮が必要です。
研修後に定着させる仕組み
研修は一度で終わりにせず、日常の運用に組み込みます。
- 定期的なアカウントの見直し：四半期ごとなど時期を決めて、ユーザー一覧と権限を確認します。冒頭の
wp user listの結果を前回と比べるだけでも、不要なアカウントの放置を防げます。 - チェックリストの共有：プラグイン追加時、更新時、外部協力者へのアカウント発行時の確認項目を文書にまとめ、誰でも見られる場所に置きます。
- 年1回程度の再研修：新しく加わったメンバー向けと、手口の変化に合わせた内容の更新を兼ねて行います。
- 報告の振り返り：寄せられた報告や誤検知を、次回の研修の題材にします。
研修の資料には作成日を入れておき、内容が古くなっていないか見直すきっかけにします（この記事の内容は2026年10月現在の一般的な運用に基づいています）。
まとめ
- 研修の前にユーザー一覧と権限を棚卸しし、対象者を管理者・投稿者・外部協力者に分けて内容を変えます。
- 基礎編ではパスワード管理、二要素認証、偽メールの見分け方、報告の手順を扱い、研修時間内に設定まで済ませます。
- 管理者向けには、更新とバックアップの運用、権限の最小化、ファイル編集の無効化、改ざんの確認と復旧を扱います。
- 練習は本番ではなく、個人情報を含まない練習用サイトで行います。
- 机上演習と定期的なアカウントの見直しで、研修の内容を日常の運用に定着させます。