WordPressから海外サイト・偽通販へ勝手に転送される｜気づきにくい改ざんの緊急対応

なぜサイト運営者だけ気づかないのか

不正転送は、すべてのアクセスで毎回起きるとは限りません。管理者としてログイン中は動かない、初回だけ、スマートフォンだけ、検索結果から訪れた人だけなど、発見を遅らせる条件が付けられることがあります。

運営者は同じPCからトップページを直接開くことが多いため正常に見え、検索から初めて訪れるお客様だけが被害を受けます。「こちらでは再現しない」と放置せず、報告された端末、入口URL、時刻、転送先を確認します。

「変なサイトへ飛ばされる」というお客様の連絡が最初の警告

この相談では、サイト運営者より先に訪問者が異常へ気づくことが多くあります。報告を受けたら、単なるブラウザ広告と決めつけず、サイト側の改ざんを前提に調査します。

• どのページから転送されたか
• Googleなどの検索結果から入ったか
• PCかスマートフォンか
• 転送された日時と転送先URL
• 毎回か、最初の一度だけか

不正転送は1か所だけを見ても分からない

転送処理は、Webサーバー設定、WordPress本体周辺、テーマ、プラグイン、JavaScript、データベースなど複数の場所へ入れられます。表面上見つかったコードを1個消しても、別のバックドアが書き戻すことがあります。

調査では、正規ファイルとの差分、更新日時、不審な自動実行、管理者ユーザー、同じサーバーにある別サイト、アクセスログを組み合わせます。汎用的な文字列だけで正規ファイルを一括削除しないことも重要です。

検索結果のタイトルや説明文も書き換えられる

不正転送だけでなく、検索エンジンへ外国語、偽通販、カジノなど別の内容を見せる改ざんもあります。検索結果に知らないタイトルや説明文が表示されると、利用者からの信用を失い、クリックされなくなります。

Googleはハッキングされたコンテンツをスパムポリシーの対象として説明しています。Search Consoleでセキュリティ問題が検出されることもあり、警告、インデックスへの影響、検索流入の低下につながる可能性があります。

不正転送を見つけた時の緊急対応

1. 転送元・転送先・時刻・端末を記録する
2. 現在のファイル、データベース、ログを保存する
3. 利用者への被害を止めるため不正転送を遮断する
4. 感染範囲と不正コードを作り直すバックドアを調査する
5. WordPress・テーマ・プラグインを正常な状態へ戻す
6. 管理者・サーバー・FTPなどの認証情報を更新する
7. Search Consoleと検索結果を確認する
8. 再発していないか継続監視する

改ざんを疑った時の安全な初動もあわせて確認してください。

「自分では再現しない」状態でも即時修復した方がよい

運営者の端末で再現しなくても、検索から来る見込み客が偽サイトへ送られている可能性があります。放置期間が長いほど、利用者被害、信用低下、不正URLのインデックスが広がります。

原因が分からないままバックアップ復元だけを行うと、感染済みの状態へ戻ることもあります。現在の状態を保存し、侵入口と再生成元まで確認します。