WordPress管理员邮箱持续收到用户密码变更通知问题咨询

我运营的WordPress站点已安装安全类插件及bot trap防护插件，但站点管理员邮箱仍持续收到来自不同用户的密码修改通知邮件，相关通知邮件截图如下：

该现象不属于站点正常运行状态，但不用过度恐慌：绝大多数场景下攻击者无法真的篡改用户密码，只是批量触发接口产生垃圾邮件，仅当你点击了陌生来源邮件里的恶意链接、或者站点未做账号二次验证时才会产生实际安全风险。

• 密码重置接口未做访问频率限制：WordPress原生密码重置逻辑为，只要请求中携带的用户名/邮箱在站点存在，就会自动向对应用户邮箱（部分配置异常的站点会抄送给管理员）发送密码重置通知。攻击者只要批量枚举到站点的用户名/注册邮箱列表，哪怕根本收不到重置验证链接、无法完成密码修改流程，也能持续触发邮件发送。
• 现有安全防护规则存在缺口：常规安全插件、bot trap仅能拦截已标记为恶意IP的公开爬虫，对使用代理池轮换IP、模拟正常用户请求频率的扫号行为识别率很低，无法完全拦截这类接口调用请求。
• 站点用户数据已被枚举/泄露：如果站点的用户名列表被攻击者通过文章作者页、REST接口等公开渠道爬取，或者之前出现过数据泄露，攻击者携带真实账号信息发起的请求更贴近正常用户行为，更容易绕过基础防护触发邮件。
• 收到的是伪造发件人的欺诈邮件：少部分场景下攻击者会伪造成WordPress站点发件人发送钓鱼邮件，诱导管理员点击恶意链接窃取账号权限，这类邮件根本不是站点服务器自身发出的。

• 先核对触发源：拉取站点服务器访问日志、邮件发送日志，核对邮件发送时间点是否存在大量访问wp-login.php?action=lostpassword路径的请求，如果时间、请求IP完全匹配，就是接口被恶意扫描触发；如果日志里无对应记录，就检查邮件头的真实发件源，确认是伪造邮件的话直接拉黑对应发件域名/IP即可。
• 补全接口防护：给密码重置、登录、注册这类公开接口加上人机验证码，同时配置单IP访问频率限制，单个IP1小时内最多允许提交1次密码重置请求，超阈值直接拦截。
• 按需关闭非必要功能：如果站点不需要面向普通用户开放密码找回功能，可以直接在当前主题的functions.php文件中添加如下代码全局禁用密码重置能力：

// 禁用WordPress密码重置功能
function custom_disable_pwd_reset() {
    return false;
}
add_filter('allow_password_reset', 'custom_disable_pwd_reset');

• 升级账号安全等级：给所有管理员账号开启双因子认证，避免即使出现密码泄露也无法被登录，同时更新安全插件的最新规则库，开启针对登录、密码重置接口的专项防护。

内容的提问来源于stack exchange，提问作者Charlie HC