WordPressの会員登録機能を利用しているサイトでは、公開されている登録フォームを狙って、自動Botによるスパム登録が行われることがあります。見覚えのないユーザー名や不自然な登録情報が突然届いた場合、必ずしも人が手作業で登録しているとは限りません。

今回は、WP-Membersを利用した会員登録フォームで不審な新規登録が確認されたため、登録内容やフォームの状況を確認したうえで、自動Botによる会員登録スパムの可能性が高いと判断しました。対策としてreCAPTCHA v3を導入し、通常の利用者に余計な操作を求めることなく、自動登録への対策を行いました。

今回のご相談内容

お客様から「会員登録ページが狙われているようなので、何か対策できないか」とご相談をいただきました。

対象のサイトでは、WordPressの会員管理プラグイン「WP-Members」を使用して会員登録機能を提供しています。登録フォーム自体は一般に公開されているため、誰でもアクセスできる状態です。まずは不審な登録がどのようなものなのかを確認し、サイトへの侵入などの問題なのか、それとも公開フォームを利用したスパムなのかを切り分けることにしました。

発生していた症状・エラー内容

今回確認されたのは、会員登録フォームから不自然な内容で新規ユーザーが登録され、その情報が管理者宛ての通知メールとして届くというものでした。

登録されたユーザー名はランダムな文字列で、氏名やその他の入力項目にはテスト目的のような単純な文字列が使用されていました。システム上のエラーが発生しているわけではなく、通常の会員登録フォームを経由した登録として処理されている状態でした。

原因の特定ポイント

登録内容を確認したところ、通常の利用者による登録としては不自然なユーザー名や入力内容が使われていました。この特徴から、会員登録フォームを自動的に探して情報を送信するBotによるスパム登録である可能性が高いと判断しました。

重要なのは、今回の事象だけをもって「WordPressが不正アクセスを受けた」「サイトへ侵入された」と判断しないことです。公開されているフォームは、通常の利用者だけでなくBotからもアクセスできます。そのため、フォームそのものは正常に動作していても、自動送信への対策がなければスパム登録が成立することがあります。

実際に行った対応内容

今回はWP-Membersの会員登録フォームに「Google reCAPTCHA v3」を設定しました。reCAPTCHA v3は、従来の「私はロボットではありません」というチェックボックスを利用者に操作してもらう方式とは異なり、バックグラウンドでアクセスを評価する仕組みです。

そのため、通常の利用者はこれまでとほぼ同じ操作で会員登録できます。スパム対策を強化する一方で、正規の利用者に新たな操作を求めないことも、今回reCAPTCHA v3を選択した理由の一つです。

設定後に登録ページを確認したところ、reCAPTCHAの処理自体は読み込まれていましたが、本来表示されるreCAPTCHAのバッジが画面上に表示されていませんでした。開発者ツールでHTMLとCSSを確認したところ、テーマ側の既存CSSによってバッジが非表示にされていることが判明したため、該当するCSSを修正しました。

対応後の結果・改善点

CSSを修正したことで、登録ページ上にreCAPTCHAによって保護されていることを示すバッジが正常に表示されるようになりました。

これにより、バックグラウンドではreCAPTCHA v3による自動Bot対策を行いつつ、ページを利用する方やサイト管理者から見ても、reCAPTCHAが導入されていることを確認できる状態になりました。

今回のようなスパム対策は、導入した時点で「今後すべてのスパムを防げる」と断定できるものではありません。そのため、まずは利用者への負担が少ない対策を実施し、その後の登録状況を確認しながら、必要であれば追加対策を検討する方針としました。

今回の対応から分かったこと

会員登録スパムが発生した場合、不審な登録があるという事実だけで原因を決めつけず、まず「どこから、どのような方法で登録されたのか」を確認することが大切です。

また、セキュリティ機能は管理画面で有効にするだけではなく、実際のページで正しく読み込まれているかを確認する必要があります。今回はreCAPTCHA自体は読み込まれていたものの、既存のCSSによってバッジだけが非表示になっていました。設定内容だけで判断せず、実際の表示やブラウザの開発者ツールまで確認したことで、原因を切り分けることができました。

同様のトラブルを防ぐために

WordPressで会員登録機能を一般公開している場合、フォームがBotの対象になる可能性を完全になくすことは難しいため、自動送信を前提とした対策を考えておくことが重要です。

reCAPTCHAなどの仕組みを利用すれば、通常の利用者への負担を抑えながら自動Botへの対策を追加できます。それでもスパム登録が継続する場合には、発生状況を確認したうえで、さらに別のスパム判定やBot対策を組み合わせる方法もあります。

最初から対策を増やしすぎると、本来登録したい利用者まで使いにくくなる可能性があります。発生している問題に合わせて必要な対策から導入し、結果を確認しながら段階的に強化していくことも、サイト運用では大切です。

メディアプライムスタイルのサポートについて

メディアプライムスタイルでは、WordPressの制作だけでなく、公開後に発生した不具合やスパム、プラグインの設定、セキュリティに関するご相談にも対応しています。

「突然知らない会員が登録された」「フォームから不審な送信が続いている」といった場合も、原因によって必要な対応は異なります。現在のサイトの状態や利用している機能を確認しながら、必要な範囲で対策をご案内しています。