サイトを開いたら見知らぬページに転送された。検索結果に身に覚えのない日本語スパムが大量に表示されている。サーバー内に見覚えのないファイルが置かれている——。
WordPressサイトのマルウェア感染に気づいた瞬間、誰でも頭が真っ白になります。そして「早くなんとかしなければ」という焦りから打った一手が、証拠を消し、感染を広げ、復旧の難易度と費用を何倍にも膨らませてしまう——そんなケースが非常に多いのです。
これは決して大げさな話ではありません。当社にご相談いただくお客様にも、ご自身で行われた初動対応がきっかけで、その後の調査や復旧作業が難しくなってしまうケースが後を絶ちません。
この記事では、感染発覚直後にやってはいけない6つのことを、「なぜダメなのか」「代わりにどうすべきか」とセットで解説します。
現在まさに感染が疑われる状況にある方は、慌ててファイルの削除や更新を始める前に、まずこの記事を確認してください。
① 怪しいファイルを見つけて、それだけ削除する
● なぜダメなのか
FTPやファイルマネージャーで見覚えのないPHPファイルを見つけ、「これが原因だ」と削除しても、それだけで解決するとは限りません。
目に見えるマルウェアは氷山の一角
攻撃者は侵入に成功すると、本命の改ざんファイルとは別に、再侵入するためのバックドアを複数箇所に設置することがあります。テーマの「functions.php」の末尾、プラグインディレクトリの奥深く、「wp-includes」内の正規ファイルに紛れ込んだ不正コード、アップロードディレクトリ内に設置されたPHPファイル——設置場所は多岐にわたります。
1つの不審ファイルだけを削除して安心してしまうと、ほかのバックドアや改ざん箇所が残り、再感染につながります。実際、「怪しいファイルを消したのに、しばらくすると再び改ざんされた」というご相談は、決して珍しくありません。
● 代わりにどうすべきか
不審なファイルを見つけても、原則としてすぐに削除せず、まずは以下の情報を記録してください。
- ファイル名
- ファイルのパス
- 更新日時
- ファイルの内容
- 所有者・パーミッション
これらは、侵入時期や侵入経路を特定する重要な手がかりになります。
そのうえで、サイト全体を対象として、
- 全ファイルのマルウェアスキャン
- WordPress公式ファイルとの差分確認
- プラグイン・テーマの正規ファイルとの差分確認
- アクセスログ・エラーログの解析
- データベース内の不審データ確認
などを行い、感染範囲を把握してから駆除を進めることが重要です。
② とりあえずWordPress本体やプラグインを更新する
● なぜダメなのか
「古いバージョンが原因かもしれないから、まず最新にしよう」
そう考えるのは自然ですし、平常時のセキュリティ対策としては正しい判断です。
しかし、感染発覚直後に更新を行うと、調査に必要な情報を上書きしてしまう可能性があります。
たとえば、
- どのプラグインの、どのバージョンの脆弱性を悪用されたのか判断しにくくなる
- 多数のファイルの更新日時が一斉に変わり、「いつ、どのファイルが改ざんされたのか」を切り分けにくくなる
- 改ざんされていたファイルが正規ファイルで上書きされ、攻撃内容を確認できなくなる
といった問題が生じます。
さらに重要なのは、WordPressやプラグインを更新しても、すでに設置されたバックドアまで自動的に削除されるわけではない、という点です。
脆弱性という「入口」を塞いでも、攻撃者が別のバックドアを設置していれば、そこから再び侵入される可能性があります。
「更新したからもう大丈夫」と判断してしまうことが、かえって再感染の発見を遅らせる原因になります。
● 代わりにどうすべきか
更新作業を行う前には、忘れずに現在の状態を保全しておきましょう。具体的には以下の対応が必要です。
- サイト全ファイルとデータベースのバックアップ取得
- アクセスログ・エラーログの退避（サーバー側で自動削除される前に実施）
また、システムの更新自体は、被害の調査とバックドアの駆除がすべて完了した後に「再発防止策」として実施するのが正しい手順です。
③ バックアップから復元して終わりにする
● なぜダメなのか
バックアップからの復元は有効な復旧手段の一つですが、復元するだけでは根本的な解決にならない場合があります。主な理由は以下の2点です。
1つ目：そのバックアップは本当にクリーンか?
マルウェアは、発覚するかなり前から潜伏しているというケースも珍しくありません。
感染に気づいたのが今日であっても、実際の侵入は数週間前、あるいは数か月前だったというケースが大半です。そのため、一見正常に見える直近のバックアップから復元しても、潜伏中のマルウェアやバックドアまで一緒に戻してしまう危険性があります。
2つ目：侵入経路が塞がっていない
仮にクリーンな時点まで戻せたとしても、侵入に悪用された脆弱性や、漏えいした認証情報がそのままであれば、再び同じ経路から侵入される可能性があります。
実際に、「バックアップから復元したものの、数日後に再感染した」というケースは少なくありません。
● 代わりにどうすべきか
バックアップからの復元は、「原因特定 + 侵入経路の対策 + 全パスワード変更」とセットで行うことが重要です。
また、復元を行う前に、現在の感染状態をファイルとデータベースを含めて丸ごと保全しておきましょう。復元によって現在のファイルが上書きされると、侵入経路や改ざん内容を調査するための重要な証拠が失われる可能性があるためです。
④ パスワードを変えずに復旧作業を進める
● なぜダメなのか
侵入経路が脆弱性ではなく、盗まれた認証情報だった場合、マルウェアファイルをどれだけきれいに駆除しても、攻撃者は有効なID・パスワードを使って再びログインできてしまいます。
また、脆弱性を悪用して侵入された場合でも、攻撃者がwp-config.phpに記載されたデータベースの接続情報を読み取り、データベースに直接接続してユーザー情報を取得している可能性もあります。
そのため、感染が確認されたサイトでは、関連する認証情報が漏えいしている可能性を前提に対応することが重要です。
● 代わりにどうすべきか
変更すべきは、WordPressの管理者パスワードだけではありません。関連する認証情報を一通り見直し、必要に応じて変更することが重要です。
- WordPressユーザーのパスワード（特に管理者権限）
- FTP / SFTP / SSHのパスワード・鍵
- データベースのパスワード（変更後はwp-config.phpの更新も）
- サーバーコントロールパネル（さくら、Xserver等）のログイン情報
- WordPressの認証キー・ソルト（wp-config.php内のAUTH_KEY等の再生成）
あわせて、管理画面のユーザー一覧に見覚えのないアカウントが追加されていないかを必ず確認しましょう。
管理者アカウントを勝手に追加しているケースは非常に多く見られます。ユーザー名が空欄になっていたり、一見怪しくない名前を装っていたりすることもあるため、「表示されている名前」だけでなく「登録されているユーザーの総数が想定と合っているか」という視点でチェックするのがポイントです。
⑤ 感染したままサイトを公開し続ける
● なぜダメなのか
「原因が判明するまで公開を続ける」のは大変危険です。
自社サイトだけでなく、アクセスしてくれたお客様にまで被害が及んでしまう恐れがあります。
■ 訪問者への二次被害
訪問された方が詐欺サイトに飛ばされたり、ウイルスに感染したりする危険があります。万が一実害が出てしまうと、会社への信頼を損ねるだけでなく、法的な責任を問われる可能性も否定できません。
■ Googleによるサイトの警告・遮断
Googleに危険なサイトと判断されると、ブラウザに大きな警告画面が表示され、実質的にアクセスできない状態になることがあります。こうなると、マルウェアを取り除いた後の解除申請にも時間がかかってしまいます。
● 代わりにどうすべきか
外部への影響が確認されている場合や、復旧に時間を要する場合は、調査・駆除が完了するまでサイトを一時的に公開停止することを検討してください。
⑥ 復旧できたら、それで終わりにする
● なぜダメなのか
マルウェアを駆除し、サイトが正常に表示されるようになると、そこで安心して作業を終えてしまいがちです。しかし、侵入を許した根本原因が残っていれば、再感染する可能性があります。
また、一度攻撃対象となったサイトのURLは、攻撃者のリストに載っている可能性が高く、以前より頻繁にスキャンされると考えておくべきです。
● 代わりにどうすべきか
「復旧完了」には、駆除だけでなく再発防止まで含めることが重要です。
具体的には、
- 侵入経路となった脆弱性の解消
- 再発防止を目的としたセキュリティ設定の追加
- WordPress本体・プラグイン・テーマの更新
- 更新が止まっているプラグイン・テーマの削除・置き換え
などが必要となります。
まとめ：すでに「やってしまった」場合も、諦める必要はありません
もし、この記事を読む前にいくつかの対応を「やってしまった」としても、安全に復旧する手段がなくなるわけではありません。残っているログ、ファイル、データベース、バックアップなどから侵入経路を推定し、リスクの高い箇所を網羅的に調査・対策することは可能です。
「自分でどこまで対応すればよいのかわからない」「調査の途中で手詰まりになった」「一度復旧したのに再感染した」——そのような場合は、被害が拡大する前に専門家へ相談することをおすすめいたします。
WPPLUSでは、感染したWordPressサイトの調査・マルウェア駆除・復旧・再発防止まで一貫して対応しています。
サイトの復旧でお困りの場合は、ぜひ一度ご相談ください。
参考：まずは自分で感染の有無をチェック
「マルウェア感染をしているか、まずは自分で確認したい」というお客様に関しましては、WPPLUSが開発した、WordPressサイトのマルウェアを簡単にチェックできる無料プラグイン「Easy Malware Checker」をお試しください。
簡単インストール＆ワンクリックで、感染の有無をチェックいただけます。
