WordPressのユーザー一覧に知らない管理者がいたら｜最初の30分ですることと、消す前に確かめること【2026年版】

こんにちは、株式会社ソライルの波多野です。

「久しぶりにWordPressのユーザー一覧を開いたら、見覚えのない英字の名前の管理者がいた」
「『新しいユーザーが登録されました』というメールが届いたが、誰も登録していない」
WordPressのユーザー一覧に、知らない管理者が増えていることがあります。

不正に入り込まれた可能性があるため、早めの対応が必要です。
ただ、慌ててすぐに削除すると、手がかりが消えたり、正しいアカウントを消してしまったりすることがあります。
この記事では、Webが専門ではない経営者・ご担当者の方に向けて、次のことを順番にご説明します。

• 不正なアカウントか、正しいアカウントかの見分け方
• 管理画面だけでできる、最初の30分の行動
• 削除するときの手順と、削除したあとに確かめること
• お問い合わせフォームで個人情報を受けているときの考え方
• 制作会社や保守会社に頼むときに伝えること

1. まず、本当に知らない人かを確かめる

知らない名前の管理者が、実は正しいアカウントだったということもあります。

一方で、次のような特徴があれば、不正なアカウントの可能性が高くなります。

• 英数字を並べただけの名前（「wpadmin2」「a8f3k」など）
• 会社と関係のない、海外のフリーメールのアドレス
• 誰も作った覚えがないのに、権限が「管理者」
• 「新しいユーザーが登録されました」というメールに覚えがない
• 同じ時期に、知らないプラグインや投稿が増えている

2. 最初の30分ですること

不正なアカウントの可能性があるときは、次の順で進めます。

1. 画面を記録する

削除する前に、ユーザー一覧の画面をスクリーンショットで残します。
ユーザー名、名前、メールアドレス、権限グループ、投稿の数が写るようにします。
不審なユーザーの名前を押して、プロフィールの画面も残しておきます。

あとで制作会社やサーバー会社に調べてもらうとき、どのアカウントがいつからあったかの手がかりになります。

2. 関係者に、作ったかを聞く

社内の担当者、制作会社、保守会社に、そのユーザーを作ったかを確かめます。
電話やチャットなど、すぐに返事が来る方法で聞きます。
30分ほどで答えが出なければ、不正なアカウントとして次に進みます。

3. ご自分のパスワードを、別の端末で変える

ご自分の管理者のパスワードを、長く、ほかで使っていないものに変えます。
できれば、ふだん使っているパソコンとは別の端末から変えます。
パソコンそのものから情報が漏れている可能性もあるためです。

ほかの正しい管理者にも、パスワードを変えてもらいます。

4. 不審なユーザーの権限を下げる、または削除する

記録を残し、関係者の確認が終わったら、不審なユーザーを削除します。
削除の画面で「このユーザーのコンテンツをどうしますか」と聞かれたら、「すべてのコンテンツを以下のユーザーのものにする」を選び、ご自分のユーザーを指定します。
不審なユーザーが投稿を作っていた場合も、中身を確かめられるように残しておきます。

すぐに削除するか迷うときは、権限グループを「購読者」に下げるだけでも、管理画面での操作はできなくなります。

5. 全員をいったんログアウトさせる

ユーザーの編集画面の下のほうに、「すべての場所でログアウト」（ご自分の画面では「他のすべての場所でログアウト」）というボタンがあります。
ご自分とほかの管理者の画面でこれを押し、ほかの端末でログインしたままの状態を切ります。

6. 二段階認証を付ける

管理者のログインに、二段階認証を付けます。
パスワードが漏れていても、ログインされにくくなります。
付け方は、関連記事「WordPressのログインに二段階認証を付ける」でご紹介しています。

3. 削除しただけでは終わらない理由

知らない管理者が作られたということは、どこかから入り込まれたということです。
入り口が残ったままだと、削除したアカウントがまた作られることがあります。
よくある入り口は、次のようなものです。

管理画面で確かめられるのは、次の3つです。

• 「ダッシュボード」→「更新」に、更新が残っていないか
• 「プラグイン」に、入れた覚えのないものがないか
• 「投稿」「固定ページ」に、書いた覚えのないものがないか

サーバーの中の不正なファイルは、管理画面からは見えません。
ここから先は、制作会社や保守会社、サーバー会社に調べてもらう段階です。

4. 削除したあとも、しばらく見張る

削除したあとは、次の時期にユーザー一覧をもう一度開き、不審なユーザーが作り直されていないかを確かめます。

作り直されていたら、不正なファイルが残っています。
ご自分で削除を繰り返さず、専門家に調べてもらいます。
検索結果に見覚えのないページが出ていないかは、関連記事「【サイバー攻撃で検索結果が改ざんされた？】」の確かめ方をご覧ください。

5. お問い合わせフォームで個人情報を受けているとき

ホームページで、お問い合わせや予約などのお客様の情報を受けている場合は、その情報が見られた可能性も考えます。
不正なアクセスで個人データが漏れたおそれがある場合、件数にかかわらず、個人情報保護委員会への報告と、ご本人への通知が必要になることがあります。

• フォームの送信内容が、WordPressの中に保存される設定になっていないか
• 会員登録や予約の機能を使っていないか
• いつから不審なアカウントがあったか

こうしたことを、制作会社や保守会社に調べてもらい、必要に応じて弁護士などの専門家に相談します。

6. 制作会社や保守会社に頼むときに伝えること

7. ソライルでのお手伝い

ソライルのホームページ保守では、WordPressのサイト向けのスタンダードプラン以上で、セキュリティ管理と、WordPress本体・プラグインの管理を毎月行っています。
不正なアカウントや改ざんが見つかり、すぐに復旧が必要なときは、保守のご契約がなくても、サイバー攻撃復旧サービスでご相談を承っています。

▶ サイバー攻撃復旧サービス

ソライルはお客様に2つのことをお約束しています。
毎月、必ずサイトを確認します。
毎月、月次報告をメールにてお送り致します。

月次報告はスタンダードプラン以上が対象で、ライトプランではオプションで追加できます。

8. まとめ

• 知らない管理者を見つけたら、まず画面を記録し、関係者に作ったかを確かめる
• 不正の可能性があれば、別の端末でパスワードを変え、不審なユーザーを削除し、全員をログアウトさせる
• 削除だけでは終わらない。入り口（古いプラグイン、弱いパスワード、不正なファイル）を確かめる
• 削除のあと、翌日・3日後・1週間後にユーザー一覧を見直す
• お客様の個人情報を受けているなら、報告や通知が必要か専門家に相談する

「ほかにも不審なところがないか見てほしい」と思われたら、ソライルの無料サイト健康診断をご利用ください。
フォームにURLを入れて送っていただくだけで、通常1営業日以内に、メールで所見をお返しします。
営業のお電話はいたしません。

▶ 無料サイト健康診断を申し込む

ホームページの更新と確認を、毎月まとめて任せたい方は、ホームページ保守サービスのページもご覧ください。

▶ ホームページ保守サービス（料金・プラン）

関連記事

• WordPressが乗っ取りにあったら対応する事と対策方法
• WordPressのセキュリティを自分でチェックする｜管理画面だけでできる5分の点検10項目と、見つかったときの直し方【2026年版】
• WordPressのログインに二段階認証を付ける｜会社のサイトでの選び方と、担当者が替わるときの注意【2026年版】
• WordPressのログイン情報を外注先にどう渡す？｜作業用アカウントの作り方と、権限の選び方・作業後にやること【2026年版】
• 【サイバー攻撃で検索結果が改ざんされた？】可能性をチェックする方法・対策・対処法とは

よくある質問

Q. 知らない管理者を、すぐに削除してはいけませんか？

A. 削除する前に、画面を記録し、関係者に作ったかを確かめます。
正しいアカウントを消してしまうと、制作会社が作業できなくなることがあります。
不正なものでも、記録を残しておくと、あとで原因を調べやすくなります。

Q. 知らない管理者を削除したら、それで安全ですか？

A. 削除だけでは安全とは言えません。
入り口が残っていると、アカウントがまた作られることがあります。
更新の残りやプラグインを確かめ、作り直されないかを1週間ほど見張ります。

Q. 「管理者」ではなく「購読者」の知らないユーザーがたくさんいます。

A. 会員登録を受け付ける設定になっていると、ロボットが自動で登録することがあります。
「設定」→「一般」の「だれでもユーザー登録ができるようにする」を確かめ、使っていなければチェックを外します。
「新規ユーザーのデフォルト権限グループ」が「管理者」になっていないかも、あわせて確かめます。

Q. ホームページの見た目は何も変わっていません。それでも対応が必要ですか？

A. 必要です。
不正に入り込んだ人は、見た目を変えずに、裏側に広告のページや不正なファイルを置くことがあります。
見た目が同じでも、記録・パスワードの変更・削除・見張りを進めます。

Q. 前の制作会社のアカウントが残っていました。

A. 今は作業を頼んでいなければ、削除します。
続けて頼んでいる場合も、管理者が必要かを確かめ、必要なければ権限を下げます。
作業用アカウントの考え方は、関連記事「WordPressのログイン情報を外注先にどう渡す？」でご紹介しています。