ログイン

ユーザー名(ID やメールアドレス)とパスワードなどの認証情報を入力し、本人だけがアクセスできる裏側の領域に入るための操作。CMS(更新システム)の管理画面、各種 SaaSツール、会員サイトなど、パーミッション(管理者や編集者などの操作権限)が必要な機能の入口となる関門。

最大の特徴：「サイトを守る城門」であり、攻撃者の「最大の標的」

Web 担当者が絶対に持たなければならないのは、「ログイン画面は、世界中のハッカーや悪意あるプログラムからの攻撃の入り口である」という強い危機感。推測されやすいパスワードや使い回しは、サイト乗っ取りや顧客情報漏洩の直接の原因になる。「強固なパスワード」＋「2 段階認証(スマホへの SMS 通知など)」＋「ログイン試行回数の制限」の 3 点セットを組むのが、現代のセキュリティの基本。

運用の要点：多層防御と「1 人 1 アカウント」の鉄則

実務では、システム的な防御と、社内の運用ルールの両輪で守りを固める。

• システムの多層防御：CAPTCHA(reCAPTCHA)(ボットによる自動入力を防ぐ画像認証機能)の導入、管理画面 URL を初期設定(/wp-admin/ など)から変更する、社外からのアクセスは VPN(安全に通信できる仮想の専用線)経由に限定する、Basic 認証(ベーシック認証)(簡易的なアクセス制限)や IP アドレス制限をかける、などの対策を重ねる。
• 運用の鉄則：アカウントの使い回し(共有アカウント)は絶対に避け、必ず「1 人 1 アカウント」を発行し、ログイン履歴(誰がいつ操作したか)を追跡できる状態にする。

現場でよくある「落とし穴」

• 「共有アカウント」と「退職者放置」が生む内部犯罪：「アカウントを作るのが面倒だから」と部署全員で共通の ID(admin 等)を使い回し、退職者のアカウントも削除せず放置してしまう。悲惨な末路として、会社に不満を持つ退職者が外部からログインし、顧客リストを盗み出したりサイトを全消去したりする事件が発生。しかし共有アカウントのため「誰が実行したか」の法的なログ(証拠)が掴めず、会社は泣き寝入りすることになる(定期的なアカウントの棚卸しと、退職時の即時停止が必須)。
• その他のヒューマンエラー：ツール導入時の「初期 ID とパスワード」のまま運用し、外部ボットにあっさり突破される。フィッシング(偽サイトに誘導して情報を盗む詐欺)に引っかかりパスワードを自ら入力してしまう。共有の PC でログイン状態(Cookie)を保持したまま離席し、他人に勝手に操作される、など。