Aktuell rollt – zumindest auf meine WordPress Seiten – eine Angriffswelle vorrangig aus Südamerika. Neben den üblichen Brute-Force-Attacken auf den Benutzer »admin« versucht der Bot auch die URL als Benutzernamen einzusetzen, resp. ihn mit info@ zu kombinieren.
Das »admin« als Benutzername nicht mehr taugt, sollte sich allgemein herum gesprochen haben. Seit WordPress Version 3.0 ist es möglich bei der Erstinstallation den Namen des ersten Benutzers frei zu wählen. Bis dahin war »admin« vorgegeben. Wenn also eine solche alte Installation über Updates noch lebt oder ein Benutzer aus alter Gewohnheit in neueren Releases noch »admin« wählte, dann gibt es einen guten Grund das zu ändern! Ein Angreifer braucht an dieser Stelle nur noch eine Hälfte des Logins zu raten/durchzuprobieren.
Als weitere Konsequenz aus dem o.g. Bot-Verhalten kann nur dazu angeraten werden, einen Benutzernamen zu wählen, der nichts mit der URL oder der eMail-Adresse der Präsenz zu tun hat.
Ach ja: und bei 20 Zeichen wird der Benutzernamen abgeschnitten. Analog zu einem langen Passwort kann auch ein sehr langer Benutzername schon ein Sicherheitselement sein. Aber da ist’s dann wie immer: Sicherheit oder Bequemlichkeit (beim Tippen) ;-).