ログインIDとパスワードが漏れなければ、基本的にはサイト乗っ取りは不可能です。ただし、念には念をいれておいて損はないと思います。
WordPressのログインページは、デフォルトで /wp-login.php と固定されています。そのURLを変更して、ログインページを外部からわからなくする対策です。

ログインユーザー名を特定させない

https://fit-jp.com/loginsecurity/

WordPressはデフォルト設定のままだと、ドメインの後ろに「/?author=1」をつけると、最初に作成したユーザーページが表示されます。
ほとんどのユーザーが、「/?author=1」のユーザー名で運営を行うため、ログインIDが外部に筒抜けの状態になっています。もし、想定されやすいパスワードを設定していたとしたら、簡単にサイトの乗っ取りが可能となってしまうワケです。

WP Security Audit Logでもしものときにログを残す

https://hacknote.jp/archives/50397/

コメント欄は無効にする（不要であれば）

https://shiritai.net/comment_stop/

“フォーム”や”コメント欄”は、WordPressの中でも脆弱性が発見される頻度が高いです。実際、過去に某企業サイトで攻撃を仕掛けられたときがありましたが、この部分でした。

また、掲示板などのコメント欄には、悪意のあるサイトのURLを投稿される可能性があります。投稿表示を承認制にもできますが、運用コストが増えるので無効にするのが手っ取り早いです。

あとがき

WordPressのセキュリティ対策はイタチごっこの側面があるため、常に新しい対策を取り入れていかなければいけません。
この労力を考えると、有料サービスを利用したり、静的にサイト構築した方が楽に感じる面もありますが、条件さえ合致すればまだまだ便利なシステムです。
お客さまのサイト構築にWordPressを使う際、セキュリティ対策や便利な機能を自分ゴト化して考えられるよう、SUNYSIDEでは自社サイトでもWordPressを導入すべきと考えました。
本サイト（WORK dot.）は、WordPressを用いて構築していますので、本サイトの運用で得たノウハウは、随時こちらで共有していきます。

画像引用：WordPress