WordPressの改ざん・乗っ取り｜別サイトに飛ばされる・知らないページが検索に出るときの対処法

こんな症状があれば、改ざんを疑う

どれか1つがあれば必ず改ざん、というわけではありません。ただ、時間がたつほど被害が広がることがあるため、早めに確かめましょう。

まずやること（被害を広げないために）

1. 記録する：何を見て改ざんだと思ったか、いつ気づいたか、直前にしたこと（プラグインを入れた・テーマを変えた など）をメモし、画面の写しと、そのときのアドレスも残します。直すときや、相談するときの手がかりになります。
2. サーバー会社に知らせる：サーバー会社が状況を確かめてくれたり、すでに対応していたりすることがあります。サイトが止められている場合も、まずは連絡しましょう。訪問者が別のサイトに飛ばされている場合は、一時的に公開を止めるかどうかも相談しましょう。
3. 自分のパソコンを調べる：パスワードを変える前に、ウイルス対策ソフトでパソコン全体を調べます。パソコンに入り込んだ不正なソフトから、パスワードが盗まれていることもあるためです。
4. パスワードを変える：安全を確かめたパソコンから、レンタルサーバーの管理画面、FTP・SFTP、WordPressのすべてのユーザーのパスワードを、長く、ほかで使っていないものに変えます。データベースのパスワードは、wp-config.php の設定も合わせて変える必要があるため、慣れていない場合はご相談ください。
5. ログイン中の人を締め出す：WordPressの「ユーザー」で各ユーザーを開き、「すべての場所でログアウト」（自分の場合は「他のすべての場所でログアウト」）を押します。知らない人がログインしたままにならないようにするためです。
6. 今の状態の控えを取る：改ざんされたままでも、作業の前にファイルとデータベースの控えを取ります。調べるときに使うもので、ふだんのバックアップとは分けて保管します。

自分で確かめる方法

• 飛ばされるか：ログインしていない状態やスマホで、Googleの検索結果からサイトを開いてみます。アドレスを直接入れて開くと、いつもどおりに見えることもあります。警告が出たり知らないサイトに飛ばされたりしたら、その先は操作せず、画面とアドレスを記録しておきます。
• 知らないページが無いか：Googleの検索窓に site: とサイトのアドレスを続けて入れて（例：site:example.com）検索し、作った覚えのないページが並んでいないかを見ます。
• Search Console：登録している場合は、「セキュリティの問題」のレポートを開きます。あわせて「設定」→「ユーザーと権限」に、覚えのない所有者が加わっていないかも見ます（Googleのヘルプでも、乗っ取りの可能性があると案内されています）。
• WordPressの管理画面：「ユーザー」で、知らない管理者がいないか。「プラグイン」で、入れた覚えのないものが無いか。

管理画面に入れなくなっている場合は、ログインできないときの確認と対処法もご覧ください。

直すときの流れ

改ざんされる前のバックアップに戻す場合

レンタルサーバーの自動バックアップなどがあれば、改ざんされる前の日時に戻す方法があります。戻す前に、上の「今の状態の控え」を取っておきましょう。戻す日時と範囲（ファイルだけか、データベースもか）は、サーバー会社に確かめると安心です。

• いつ改ざんされたかが分からないと、戻したバックアップにも、すでに不正なファイルが入っていることがあります。
• データベースも戻すと、その日時より後の投稿や、サイトに保存された注文などの記録が失われることがあります。
• データベースを戻すと、変えたばかりのWordPressのパスワードも前に戻ることがあります。戻した後に、もう一度変えましょう。
• 入り込まれた原因（古いプラグイン、弱いパスワードなど）が残っていると、また改ざんされることがあります。

戻し方によっては、不正なファイルが残ることもあります。戻しても症状が続くときは、戻した日時と作業の内容を添えて、サーバー会社やWP-ingにご相談ください。

戻した後、または戻せないとき

改ざんを取り除き、同じことが起きないようにするために、主に次の順で作業します。

1. 取り除く：知らない管理者のユーザーを削除し、.htaccess・index.php など書き換えられやすいファイルや、紛れ込んだ不審なファイル・書き込みを調べて取り除きます。
2. 入れ直す：WordPress本体のファイルを、今と同じ版のもので入れ直します。上から重ねるだけでは、あとから足された不正なファイルが残ることがあります。
3. 更新する：WordPress本体・プラグイン・テーマを最新にします。使っていないものや、配布が止まったものは削除します（安全に更新する手順）。
4. もう一度確かめる：飛ばされないか、知らないページや警告が出ないかを、上の「自分で確かめる方法」で確かめます。
5. パスワードをもう一度変える：すべて終わったら、もう一度変えます。

セキュリティのプラグインで、ファイルを調べる方法もあります。ただ、見つからなかったからといって安全とは限りません。ファイルの中に紛れ込んだ不審な書き込みを見つけるのは、慣れていても時間がかかる作業です。

Googleの警告を消してもらう

Googleに「危険なサイト」と判断されている場合は、直したうえで、Search Consoleから審査をお願いします。

1. 「セキュリティの問題」に出ている問題を、すべてのページで直し、直せたことを確かめます。
2. 「審査をリクエスト」を押し、何があったか、どう直したか、その結果を書いて送ります。
3. 審査には数日から数週間かかることがあります。結果のメールが届くまで、もう一度送るのは待ちましょう。

Search Consoleに登録していない場合は、まずサイトを登録して、持ち主の確認をします。

お客様の個人情報を扱っているサイトの場合

お問い合わせの内容、会員の情報、ネットショップの注文などを扱っているサイトでは、不正なアクセスで個人情報が漏れた、またはそのおそれがあるときに、個人情報保護委員会への報告と、ご本人への通知が必要になることがあります。

• 不正なアクセスによる漏えいやそのおそれは、人数が少なくても報告の対象になる場合があります。
• サイトに保存している情報だけでなく、改ざんの内容によっては、フォームに入力された情報が外へ送られていることもあります。その影響も確かめます。
• 報告の対象になる場合、速報は、気づいてから速やかに（目安は3〜5日以内）、その時点で分かっていることを報告します。確報は、気づいた日から30日以内（不正な目的によるおそれがある場合は60日以内）です。調べ終わるのを待たずに進めましょう。
• 対象になるか迷うときは、個人情報保護委員会の案内を確かめ、委員会の相談窓口や専門家に早めにご相談ください。

そのためにも、いつ・何に気づき・何をしたかの記録が大切です。

同じことを起こさないために

• 更新を続ける：WordPress本体・プラグイン・テーマの更新には、守りの直しが含まれていることがよくあります。WordPress本体の脆弱性の例は、wp2shellの記事、サーバーのPHPの脆弱性の例はphp2shellの記事もご覧ください。
• 使っていないものを消す：止めているだけのプラグインやテーマも、削除しておきましょう。
• パスワードとログインの守り：長く、ほかで使っていないパスワードにし、使えるなら2段階認証も取り入れます。使っていない XML-RPC（xmlrpc.php）を止めることも、対策の一つです（xmlrpc.php の記事）。
• バックアップ：ファイルとデータベースの両方を、定期的に。いつの時点に戻せるかを確かめておきます（バックアップの記事の「バックアップの取り方」）。
• サーバーの守りの機能：多くのレンタルサーバーに、ログインの制限などの機能があります。使えるものは有効にしておきましょう。

自分で直すのが難しいとき

次のような場合は、無理に作業を進めず、ご相談ください。

• いつ改ざんされたか分からず、戻せるバックアップが無い
• 管理画面に入れない・知らない管理者がいる
• 直したはずなのに、また飛ばされる
• Googleの警告が出ていて、早く元に戻したい
• ネットショップやお問い合わせなど、止められない機能がある

WP-ingでは、WordPressの改ざん・マルウェアの調査と復旧を 20,000円〜（税別）で承っています。作業の前に料金をご案内し、直らなければ料金はいただきません。お支払いは、直ったことを確かめていただいてからです。

よくある質問

バックアップに戻せば、それで直りますか？

見た目は元に戻ることがあります。ただ、入り込まれた原因が残っていると、また改ざんされることがあります。戻した後に、更新やパスワードの変更、不審なファイルの確認まで行いましょう。

直すまで、サイトを止めたほうがよいですか？

訪問者が知らないサイトへ飛ばされている場合など、訪問者に被害が出るおそれがあるときは、サーバー会社にも相談のうえ、一時的に公開を止めることも考えます。止めるかどうか迷うときも、ご相談ください。