Usernamen für Hacker auslesbar?

Guten Tag,
ich betreibe eine rein statische Seite ohne Möglichkeit für Besucher, sich als User anzuloggen oder irgendwelche Kommentare abzugeben.
Ausserdem ist die Installation mit dem Plugin iThemes Security abgesichert.
Die Security - Protolldatei zeigt seit neuestem vermehrt fehlgeschlagenen Loginversuche mit dem korrekten Administrator-Namen und auch dem Namen des 2,(Redakteur)-Users (gottseidank mit ungültigem Passwort). Hauptsächlich aus Russland oder China.
Woher beziehen sich die Hacker den Administrator- oder Username? (das sind nebenbei NICHT alltägliche phantasielosen Namen)

lg
bauli

/nachtrag: das Hauptverzeichnis ist zusätzlich über HTACCESS mit passwort abgesichert

es gibt aber wie anfänglich geschrieben keine BEITRÄGE auf der Seite, nur statische SEITEN.
Die Abfrage der url mit dem Anhang ?author=1 bringt auch kein Ergebnis ausser der Fehlermeldung "nicht gefunden"

und die Abfrage über die

Zitat

REST API z.B. [FONT=courier new]deinedomain.de/wp-json/wp/v2/users[/FONT]

ergibt

Zitat

[TABLE="class: treeTable"]
[TR="class: treeRow stringRow opened"]
[TD="class: treeValueCell stringCell"]"itsec_rest_api_access_restricted"[/TD]
[/TR]
[TR="class: treeRow stringRow hasChildren opened"]
[TD="class: treeLabelCell"]message[/TD]
[TD="class: treeValueCell stringCell"]"Du hast keine ausreichende Berechtigung, auf diesen Punkt zuzugreifen. Der Zugriff auf die REST-API-Anfragen ist durch die Einstellungen von iThemes Security eingeschränkt."[/TD]
[/TR]
[TR="class: treeRow objectRow opened"]
[TD="class: treeLabelCell"]data[/TD]
[TD="class: treeValueCell objectCell"]null[/TD]
[/TR]
[/TABLE]

Alles anzeigen

Es gibt auch verlässlich nirgends eine "Autoren-Link" oder sonstigen Vermerk auf einen User im HTML-Code

[FONT=courier new][/FONT][TABLE="class: treeTable"]
[TR="class: treeRow stringRow opened"]
[/TR]
[TR="class: treeRow stringRow hasChildren opened"]

[/TR]
[TR="class: treeRow objectRow opened"]
[TD="class: treeValueCell objectCell"][/TD]
[/TR]
[/TABLE]

Zitat von danielgoehr

Teste mal die Rest API mit einem großen U bei users. Das "vergessen" die meisten Plugins.

users mit großem U geschrieben bingt tatsächlich den zweiten User ausser dem Adminstrator
danke für den Hinweis.
dzugehöroge Frage; bingt es was, dieses Unterverzeichnis mit htaccess auch noch abzusichern oder führt das zu Funktionsstörungen?

Zitat

Bleibt ansonsten z.B. noch der Punkt "gehackte Installation (ähnlich wie z.B. hier)"

diese gehackte Installation ist ja MEINE (das ist auch MEIN Beitrag); ich hab danmals alles versucht, den Fehler zu beheben, mir blieb aber nur eine Neuinstallation der Seite über, die ich aus diesem Grund nun auch mit dem Security-Plugin abgesichert habe. Genau diese Plugin meldet mir eben Login-Fehlversuche mit Usernamen, die ich als "geheim" eingestuft hätte. Darum bin ich auch sehr empfindlich, was dies betrifft.
und Nochmals: das ist eine statische Seite, kein Bloq; Gefunden werden soll sie über die Google-Suchfunktion. Es war ja auch Google, der mich damals auf die gehackte Seite aufmerksam gemacht hat.

nachtrag:
ich hab mal auf dem Server nachgesehen; wo ist dieser Pfad "wp-json/wp/v2/users" überhaupt, kann ich nicht finden, owohl ich bei meinen FTP-Client auch versteckte datein anzeigen aktiviert habe?

lg bauli

hab ich schon, nur muss der anscheinend er vom Moderator freigeschaltet werden
(daher auch der Beginn meines vorherigen Postinges mit "Nachtrag")
(wird also hoffentlich bald auftauchen hier)

lg bauli

(wobei ich sowieso nicht verstehe, warum manche Antworten gleich durchgeschaltet werden und manche freigegeben werden müssen)

hier der Link
https://www.country-freunde-haag.at

https://www.country-freunde-haag.at