多くの WordPress はログイン無しで投稿者一覧を JSON で返します。攻撃者はその名前でそのままパスワード試行に入ります。外から読み取りのみ確認します。
読み取りのみの外部点検 · 個人無料 · 業務用は毎日自動監視
ドメインを一つ入れるだけ。インターネットで誰でも見られるものだけを読んで危険を集めます。攻撃リクエストは送らず、確定根拠と疑い信号を分け、観測できないものは「未確認」と記します。