海外からのアクセスを止めれば、ハッキングは防げる？攻撃元を国ごとに数えて確かめた【2026年】

「ハッキングのほとんどは海外から来る。だから、海外からのアクセスを止めれば安全」。そんな話をよく聞きます。

本当でしょうか。私たちは、公開されている攻撃元の一覧を、IPアドレスの国ごとに実際に数え、警察庁・JPCERT/CC・Google・WordPressの公式の情報と突き合わせてみました。

先に結論を書きます。

攻撃元のIPアドレスは、ほとんどが海外でした。 WordPressなどのログインを総当たりしたIPアドレス 1,240件のうち、98.8%が海外。警察庁のセンサーでも、2026年上半期の不審なアクセスの99.6%が海外からです
海外を止めると、ログインへの総当たりは大きく減らせます。 日本の大手レンタルサーバーは、管理画面などへの海外からのアクセスを、初めから制限しています
ただし、それでハッキングを免れるわけではありません。 警察庁は「海外の攻撃者であっても、国内の機器を踏み台とすることにより、海外からのアクセスを制限したサーバにアクセスすることも可能となる」と注意しています。ログインの要らない脆弱性で入られた実例も、2026年に国内でありました
サイトごと海外を止めると、Googleまで締め出します。 Googleのクローラーは主にアメリカから来ます。公開されているクローラーのIPアドレスの範囲 317のうち、日本は1つだけでした
WordPressの公式は、国をずっと止めるリストを避け、2段階認証・パスキー・回数の制限をすすめています。 国で止めるなら、ログインの入口だけに狭く、です

1. 攻撃はどこから来ている？警察庁のデータ

まず、公的なデータです。警察庁は、インターネットにセンサーを置いて、弱点を探す不審なアクセスを数えています。2026年上半期は、1日・1つのIPアドレスあたり 13,687.4件。そのうち 99.6%が海外からでした。多い順に、アメリカ、オランダ、ブルガリア、英国、ドイツです。

警察庁の図表2「警察庁が検知した国別の不審なアクセス件数」。令和2年から令和8年上半期までの国別の積み上げ棒グラフで、令和8年上半期はアメリカとオランダが大きい — 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」6ページの図表2

ただし、これは通信を送ったIPアドレスが割り当てられた国で、攻撃した人の国籍ではありません。また、このセンサーに届くのは、日本だけを狙ったものではなく、世界中に向けた探索も含みます。

2. 実際に数えた：ログインへの総当たりの98.8%は海外のIP

自分のサイトに来る攻撃に近い数字を見るため、私たちも数えてみました。

数え方

攻撃元の一覧: blocklist.de（ブロックリスト・ディーイー）。世界中のサーバーの管理者（同サービスによると2,710人以上）が、自分のサーバーへの攻撃を報告し合う無料のサービスです。公開されている一覧は、直近48時間に報告されたIPアドレスです
使った一覧: 「bruteforcelogin」（WordPress・Joomlaなどのログインを総当たりしたIPアドレス）。ほかに、全部の一覧（all）・Webサーバーへの攻撃（apache）・SSHへの攻撃（ssh）も数えました
国の判定: DB-IP の「IP to Country Lite」（2026年10月版）。ソラブンの国別ブロックと同じデータです
取得: 2026年10月24日 14時18分（日本時間）

結果

WordPressなどのログインを総当たりしたIP 1,240件の国の内訳。海外が98.8%（1,225件）、日本が1.2%（15件）で97の国と地域のうち19位。多い順にアメリカ175件、インド135件、ドイツ80件、オランダ77件、フランス73件、カナダ58件 — blocklist.de の一覧（直近48時間）を、DB-IP の国のデータで Sorabun が数えた（2026年10月24日）

一覧	件数	海外	日本
ログインへの総当たり（bruteforcelogin）	1,240件	98.8%	15件（97の国と地域のうち19位）
Webサーバーへの攻撃（apache）	9,562件	99.6%	36件（17位）
SSHへの攻撃（ssh）	4,896件	99.0%	50件（18位）
全部（all）	27,606件	99.6%	123件（30位）

ログインへの総当たりで多かったのは、アメリカ（175件・14.1%）、インド（135件・10.9%）、ドイツ（80件）、オランダ（77件）、フランス（73件）、カナダ（58件）でした。

この数字の読み方

IPアドレスの国は、通信が出てきた場所です。 攻撃した人の国籍ではありません。海外のクラウドや、乗っ取られた機器から送られていることもあります
世界中のサーバーへの攻撃の報告です。 日本のサイトに来た攻撃だけの数字ではありません。報告する人のサーバーが海外に多ければ、数字も海外に寄ります
国の判定にも誤りがあります。 DB-IP は、無料版（Lite）の正確さの目安を81、有料版を93としています（DB-IP の社内の測定）

それでも、警察庁の数字と同じく「ほとんどが海外のIPアドレス」という形は変わりませんでした。

3. レンタルサーバーは、もう止めている

実は、日本の大手のレンタルサーバーは、WordPressの管理画面などへの海外からのアクセスを、初めから制限しています。

エックスサーバーのマニュアルの国外アクセス制限設定。ダッシュボードへの国外からの接続を制限し、国外IPアドレスと海外の主要クラウドサービスが所有する日本国内IPアドレスからのアクセスを制限すると書かれている — エックスサーバーマニュアル「WordPressセキュリティ設定」の国外アクセス制限

レンタルサーバー	機能と中身（各社のマニュアルより）
エックスサーバー	国外アクセス制限。初期状態で「ON（有効）」。ダッシュボード（/wp-admin・/wp-login.php）・XML-RPC・REST API（/wp-json）・wlwmanifest.xml。「海外の主要クラウドサービスが所有する日本国内IPアドレス」も制限
ConoHa WING	海外アクセス制限。「デフォルトで全項目がONになっています」。ダッシュボード・XML-RPC-API・REST-API・wlwmanifest.xml など
さくらのレンタルサーバ	国外IPアドレスフィルター。「Googlebot は有効化の状態でもアクセス可能です」。海外からのウェブページの閲覧は「はい、可能です」
ロリポップ！	海外アタックガード。「悪質な行為のほとんどが、海外IPアドレスからのアクセスです」。「通常の海外からのサイト閲覧は可能です」

どれも、止めているのは管理画面やログインなどの入口で、サイトの表（記事のページ）は海外からも見られます。「海外を止める」は、すでに多くのサイトで、入口についてはオンになっているわけです。

ただし、レンタルサーバーによって、止める入口や初期の設定は違います。自分のサーバーの管理画面で、オンになっているか確かめてください。

4. それでも入られる：ログインの要らない脆弱性

ログインの画面を通らない穴で、実際に入られた例が、2026年に国内でありました。

2026年10月13日、京都教育大学は、学内の6つのサイト（家政科・理学科・教育学科心理学教室・附属高等学校・附属桃山中学校・附属幼稚園）が不正に侵入され、ページの一部が書き換えられていたと発表しました。7月22日に、学内のサーバーへの不審なアクセスが多数見つかったことから調べて分かったものです。

京都教育大学の発表の「本件の経緯」と「原因」。令和8年7月22日に不審なアクセスを確認し、6サイトが不正侵入を受けWebページの一部が改ざんされていた、原因はWordPressに存在する脆弱性（wp2shell）で、侵入用のPHPファイルが設置されたと書かれている — 京都教育大学「本学Webサーバーへの不正侵入に伴うWebページの一部改ざんについて」（2026年10月13日）

原因は、WordPressにあった脆弱性「wp2shell」（CVE-2026-60137・CVE-2026-63030）です。この脆弱性を使って侵入用のPHPファイルが置かれ、サイトの一部のファイルが書き換えられました。9月4日に、すべてのサイトを元に戻して公開を再開しています。サーバーには個人情報などは置いておらず、漏えいも確認されていないとしています。

IPA の注意喚起の概要。WordPress 6.9 以降では2件の脆弱性の組み合わせにより遠隔でのコード実行が生じる可能性があり、wp2shell と呼ばれ、標準構成において管理者権限などを要さないで攻撃者が遠隔でのコード実行に至る可能性が指摘されていると書かれている — IPA「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」（2026年7月22日）

IPAによると、wp2shellは「標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性」がある脆弱性でした。ログインの画面を通らずに入られる種類の穴です。直った版は WordPress 6.9.5・7.0.2（CVE-2026-60137 は 6.8.6 も）で、WordPress.org は対象の版に自動更新で強制的に配りました。米国のCISAも、7月21日に「悪用が確認された脆弱性」の一覧に載せています。

こうした穴は、国でアクセスを止めても、穴そのものは残ります。国内の踏み台（次の節）を通れば届きますし、ふさぐのは更新です。

5. 海外を止めても届く道：国内の踏み台

警察庁は、2026年上半期の報告で、はっきり注意していることがあります。

警察庁の資料25ページ。踏み台となった機器のIPアドレスがサーバーのログに記録され、海外の攻撃者であっても国内の機器を踏み台とすることにより、海外からのアクセスを制限したサーバにアクセスすることも可能となると書かれ、図表22に一般家庭の機器が踏み台となる攻撃のイメージがある — 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」25ページ

家庭のルーターや、「テレビに接続して海外動画を無料で視聴できます」とうたう機器、無料のVPNアプリなどが、持ち主の知らないうちに、通信の中継（踏み台）に使われることがあります。そうすると、サーバーの記録には、攻撃者ではなく踏み台になった機器のIPアドレスが残ります。警察庁は「海外の攻撃者であっても、国内の機器を踏み台とすることにより、海外からのアクセスを制限したサーバにアクセスすることも可能となる」としています。

警察庁の資料26ページ。令和7年中に発生したインターネットバンキングに係る不正送金事犯（被害件数4,747件、被害額約104億円）において、レジデンシャルプロキシが用いられた事案は少なくとも737件、被害額は約13.9億円に及ぶと書かれ、図表23の円グラフがある — 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」26ページ

実際に、2025年のインターネットバンキングの被害 4,747件（約104億円）のうち、少なくとも737件（約13.9億円）で、家庭の回線を使う中継（レジデンシャルプロキシ）が使われていました。2026年に入っても、多く確認されているとしています。

JPCERT/CCも、10月の注意喚起で同じことに触れています。

JPCERT/CC の注意喚起の汎用的な対策。サービスの利用地域が限定される場合は、アクセス元の地域を制限する、既知の脆弱性の影響を受けるバージョンで運用している場合は修正済みのアップデートを適用する、と書かれている — JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月23日更新）

対策として「サービスの利用地域が限定される場合は、アクセス元の地域を制限する」を挙げています。地域で止めることは、役に立つということです。そのすぐ下には「修正済みのアップデートを適用する」も並んでいます。

JPCERT/CC の注意喚起の注記。IPアドレス制限の回避やアクセスの多重化を目的として、Tor出口ノードやレジデンシャルプロキシ経由でのアクセスを確認していると書かれている — JPCERT/CC 注意喚起（2026年10月23日更新）の注記

そして同じ注意喚起で、「IPアドレス制限の回避やアクセスの多重化を目的としてTor出口ノードやレジデンシャルプロキシ経由でのアクセスを確認しています」とも書いています。地域の制限は役に立つ。でも、それだけでは足りない、ということです。

6. サイトごと止めると、Googleや決済まで止まる

では、入口だけでなく、サイトごと海外を止めたらどうなるでしょう。

Google のクローラーの説明。Google egresses primarily from IP addresses in the United States（Google は主にアメリカの IP アドレスから出ていく）、アメリカからの通信を止めているサイトには、ほかの国の IP アドレスから取りに行こうとすることがある、と書かれている — Google「Google Crawler (User Agent) Overview」

Googleは、クローラーの説明で「Google egresses primarily from IP addresses in the United States（主にアメリカのIPアドレスから出ていく）」と書いています。アメリカからの通信を止めているサイトには、ほかの国から取りに行こうとすることもある、としていますが、海外を全部止めていれば、それも届きません。

各社が公開している「送り元のIPアドレスの範囲」も、同じDB-IPのデータで数えました。

各社が公開している送り元のIPの範囲の国。Googleのクローラーは317のうち海外316・日本1、Googleのユーザーが起こす取得は504のうち日本0、Bingbotは28のうち日本1、Stripeの決済の通知は15のうち日本0 — Google・Microsoft・Stripe が公開している IP の範囲を、DB-IP の国のデータで Sorabun が数えた（2026年10月24日）

送り元	範囲の数	うち日本
Google のクローラー（Googlebot など。common-crawlers.json）	317	1
Google のユーザーが起こす取得（user-triggered-fetchers-google.json）	504	0
Bing のクローラー（bingbot.json）	28	1
Stripe の決済の通知（Webhook）	15	0

※数は、各社が公開しているIPアドレスの範囲（CIDR）の数で、範囲の先頭のIPアドレスの国で数えました。

サイトごと海外を止めると、検索に出にくくなったり、決済などの外部サービスからの知らせが届かなくなったりする恐れがあります。困るのは、ロボットだけではありません。

海外に住むお客さんや、出張・旅行中の自分も、サイトを見られなくなる
国の判定には誤りがある。エックスサーバーも「国内IPアドレスからのアクセスであっても…誤認され、制限がされる場合があります」と書いている
Googleも、多言語のサイトの説明で「IP location analysis is difficult and generally not reliable（IPアドレスで場所を判定するのは難しく、たいてい当てにならない）」としている

7. WordPressの公式は、どう言っている？

WordPress.org の「Brute Force Attacks（総当たり攻撃）」のページは、こう書いています。

WordPress.org の Brute Force Attacks のページ。以前の手引きは重い .htaccess の書き換え、国ごとの IP のブロックリスト、/wp-admin 全体への BasicAuth をすすめていたが、今日では当てにならないか、AJAX を使うプラグインを壊すか、使い勝手を落とす、代わりにエッジの WAF・2FA・パスキー・狙いを絞った回数の制限を、サーバーで止めるなら /wp-login.php・/xmlrpc.php のように範囲を狭く、と書かれている — WordPress.org「Brute Force Attacks」（Advanced Administration Handbook）

昔よくすすめられた、国ごとのIPのブロックリストなどは、今では「当てにならない（unreliable）か、AJAXを使うプラグインを壊すか、使い勝手を落とす」。代わりに、エッジのWAF、2段階認証（2FA）、パスキー、狙いを絞った回数の制限をすすめています。サーバーで止めるときは「/wp-login.php・/xmlrpc.php のように、範囲を狭く」です。

WordPress.org の Brute Force Attacks のページ。Avoid permanent country blocklists. They can block legitimate users and are difficult to maintain.（国をずっと止めるリストは避ける。正しい利用者まで止め、手入れも大変）と書かれている — WordPress.org「Brute Force Attacks」の注意

さらに「Avoid permanent country blocklists（国をずっと止めるリストは避ける）」とも書いています。正しい利用者まで止めてしまい、手入れも大変だからです。

8. つまり：海外を止めて、防げるもの・防げないもの

相手	海外を止めると
ログインへの総当たり	ほとんど減る（数えた一覧では98.8%が海外のIP）
ログインの要らない脆弱性（wp2shell など）	穴そのものは残る。ふさぐのは更新
国内の踏み台・家庭の回線を使う中継	制限を越えて届いてしまう（警察庁・JPCERT/CC）
サイトごと止める	Googleのクローラーや決済の通知まで止まる

海外を止めることは、数を減らすには効きます。でも、穴をふさぐものではありません。

9. 今日やること

レンタルサーバーの国外アクセス制限が、オンになっているか確かめる。 多くは初めからオンです
国で止めるのは、ログインの入口（ログイン画面・XML-RPC）だけにする。 公式のすすめどおり、範囲を狭く
サイトの表は止めない。 検索のクローラーや、決済などの知らせのため
WordPressの本体とプラグインを最新にする。 自動の更新が動いているか、管理画面で版を確かめる
ログインは、2段階認証かパスキーにする。 総当たりで当てられても入られない
使っていないプラグイン・テーマは消す。 穴の入口を減らす

止める範囲を狭く決めて、穴そのものは更新でふさぐ、という順番です。

10. ソラブンで、ログイン画面だけを国で止める

ソラブン（WordPressのAIプラグイン）には、こうした守りの機能も入っています。セキュリティの画面の「ログインを許す国」に JP と書くだけで、ログイン画面と XML-RPC だけを、日本からしか開けないようにできます。サイトの表は止めません。

ソラブンのセキュリティ画面の「ログインを許す国」の設定。JP と入力されていて、ログイン画面（と XML-RPC）を、ここに書いた国からしか開けないようにする、国が分からなかったときは通す、いまの接続元の国が入っていないと保存しない、国の判定は IP Geolocation by DB-IP、Cloudflare を通っているサイトでは Cloudflare の判定を使う、と書かれている — ソラブンを入れた手元の WordPress のセキュリティ画面（ファイアウォール）

国の判定には、今回数えたのと同じ DB-IP のデータを使います（Cloudflare を通っているサイトでは、Cloudflare の判定）
国が分からないときは、正しい人を締め出さないよう通します
いまの接続元の国が入っていないと保存しないので、自分を締め出す心配もありません

ほかにも、総当たりの回数の制限、2段階認証とパスキー、入っているプラグインの既知の脆弱性の毎日のチェックが、管理画面の1か所にまとまっています。

よくある質問

海外からのアクセスを止めれば、ハッキングは防げますか？

ログインへの総当たりは大きく減らせますが、それだけでは防げません。警察庁は、国内の機器を踏み台にすれば、海外からのアクセスを制限したサーバーにもアクセスできると注意しています。ログインの要らない脆弱性は、国で止めても穴そのものが残るので、本体とプラグインの更新でふさぐ必要があります。

サイト全体を、日本からしか見られないようにしてもいいですか？

おすすめしません。Googleのクローラーは主にアメリカから来るため、検索に出にくくなる恐れがあります。決済などの外部サービスからの知らせも、海外から届くものがあります。国で止めるなら、ログイン画面とXML-RPCのような入口だけにしてください。

レンタルサーバーの国外アクセス制限がオンなら、プラグインでの設定は要りませんか？

入口を国で止める点では、重なります。どちらか一方がオンになっていれば十分なことが多いです。それより、2段階認証やパスキー、本体とプラグインの更新のほうが大切です。海外から自分でログインすることがある場合は、制限の外し方も先に確かめておいてください。

海外出張中に、自分がログインできなくなりませんか？

ログイン画面を国で止めていると、海外からはログインできません。出張の前に、許す国を一時的に足すか、レンタルサーバーの制限を外す方法を確かめておいてください。ソラブンの「ログインを許す国」は、いまの接続元の国が入っていないと保存しないので、うっかり自分を締め出すことはありません。

まとめ

攻撃元のIPアドレスは、ほとんどが海外だった（警察庁のセンサーで99.6%、ログインへの総当たりの一覧を数えて98.8%）。ただし、IPアドレスの国は攻撃者の国籍ではない
日本の大手レンタルサーバーは、管理画面などへの海外からのアクセスを、初めから制限している
それでも、国内の踏み台を通れば制限は越えられ（警察庁）、ログインの要らない脆弱性は穴そのものが残る（京都教育大学の例）
サイトごと海外を止めると、Googleのクローラーや決済の通知まで止まる
WordPressの公式は、国をずっと止めるリストを避け、2段階認証・パスキー・回数の制限をすすめている。国で止めるなら、ログインの入口だけに狭く。穴は更新でふさぐ

出典（2026年10月24日に確認）

攻撃元の国の数字は、blocklist.de の一覧を、DB-IP の国のデータで私たちが数えたものです（数え方はコンテンツ/overseas-block-2026/shots/measure.py）。blocklist.de は、参加者の報告をもとにした一覧で、同サービスは利用を「at your own risk（自己責任）」としています。IP Geolocation by DB-IP（https://db-ip.com 、CC BY 4.0）。

警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（6・25・26ページ） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
blocklist.de「Export」 https://www.blocklist.de/en/export.html
DB-IP「IP to Country Lite」 https://db-ip.com/db/download/ip-to-country-lite
エックスサーバーマニュアル「WordPressセキュリティ設定」 https://www.xserver.ne.jp/manual/man_server_wpsecurity.php
ConoHa WINGサポート「WordPressのセキュリティの設定をする」 https://support.conoha.jp/w/wpsecurity/
さくらのサポート情報「国外IPアドレスをフィルター設定したい」 https://help.sakura.ad.jp/rs/2234/
ロリポップ！「海外アタックガードの設定・解除方法」 https://lolipop.jp/manual/user/attack-guard/
京都教育大学「本学Webサーバーへの不正侵入に伴うWebページの一部改ざんについて」（2026年10月13日） https://www.kyokyo-u.ac.jp/news/2026/10/web20260722-owabi.html
IPA「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」（2026年7月22日） https://www.ipa.go.jp/security/security-alert/2026/alert20260722.html
JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月23日更新） https://www.jpcert.or.jp/at/2026/at260030.html
Google「Google Crawler (User Agent) Overview」 https://developers.google.com/crawling/docs/crawlers-fetchers/overview-google-crawlers
Google「Verify Requests from Google Crawlers and Fetchers」（IPアドレスの範囲の一覧） https://developers.google.com/crawling/docs/crawlers-fetchers/verify-google-requests
Google 検索セントラル「Managing Multi-Regional and Multilingual Sites」 https://developers.google.com/search/docs/specialty/international/managing-multi-regional-sites
Bing「bingbot.json」 https://www.bing.com/toolbox/bingbot.json
Stripe「Webhook の送信元 IP」 https://stripe.com/files/ips/ips_webhooks.json
WordPress.org「Brute Force Attacks」（Advanced Administration Handbook） https://developer.wordpress.org/advanced-administration/security/brute-force/