WordPress改ざんの復旧事例｜古いWordPressが残る危険と確認項目

トップページがいつも通り表示されていても、下層ページだけが書き換えられ、不正な広告ページとして使われていることがあります。今回は、長く使われていなかった古いWordPressが同じサーバー内に残っていたことで起きた改ざんを、公開復旧まで対応した事例として紹介します。運営者・サイト・時期・件数など、特定につながる情報はすべて伏せています。

トップページが正常でも、サイト全体が安全とは限りません

相談時、トップページは正常に見えていました。しかし、会社案内やお問い合わせなどの下層URLを確認すると、本来とは関係のない外国語の広告ページが表示される状態でした。検索結果から直接ページを開いた人だけが異変に気づくため、運営者自身も発見しにくい改ざんです。

調査では、正規の運用者が作ったものではない管理者アカウントや、ファイルを外部から操作するための不正なプログラムも確認されました。目立つ広告ページだけを消して終わらせると、残った入口から再び同じことが起きるおそれがあります。

この記事で大切にしたいこと

「表示がおかしいページがある」段階で、原因を決めつけて削除を始めないことです。公開中のサイトを守りながら、どこまで影響があるか、何を残して何を除去するかを順番に確認する必要があります。

原因は、今は使っていない古いWordPressでした

現在運用しているWordPressは更新されていても、サーバー内の別フォルダに古いWordPressやテストサイト、過去の制作データが残っていることがあります。長期間更新されていないWordPress、テーマ、プラグインには、すでに公開されている弱点が含まれている場合があります。

今回も、現行サイトそのものではなく、古い構成が侵入のきっかけになっていました。サーバー上ではフォルダが別でも、同じ契約・同じ権限・同じ保存先にある情報へ影響が及ぶことがあります。使っていないから安全なのではなく、使っていないから更新されず危険が見えにくい、というのが実情です。

公開を終えた旧サイトやテスト環境が残っている
更新していないテーマ・プラグインがある
誰が作ったか分からない管理者アカウントや鍵が残っている
移行前のファイルやバックアップが公開領域に置かれている

復旧では、削除より先に「影響範囲」を確認します

復旧作業は、不正なファイルを見つけて消すだけではありません。サイトが正しく動く状態を残しながら、侵入経路と再発条件をなくすところまでが必要です。この事例では、次の順番で対応しました。

現状を保全する

調査前の状態、重要な設定、ログを確保し、作業中に判断材料が失われないようにします。

改ざんの範囲を調べる

公開ページ、WordPressのユーザー、ファイル、古い設置先を横断して確認します。トップページだけで判断しません。

不正なものを除去・修復する

不正ページ、不要な管理者、確認できた不正プログラムを除去し、正規ファイルと設定を復旧します。

侵入のきっかけをなくす

古いWordPressや不要なプログラムを整理し、権限、ログイン情報、管理者、外部サービスの連携を見直します。

公開後の動作を確認する

主要ページ、フォーム、管理画面、検索結果、メール送信などを確認し、復旧後も異常が再発していないかを見ます。

復旧が終わった後に、運営者が確認したいこと

技術的な駆除が完了しても、攻撃者が過去に見られた範囲や、残っている権限を踏まえた見直しが必要です。次の項目は、復旧担当と役割を分けながら確認すると進めやすくなります。

パスワードと管理者の見直し

WordPress、サーバー、データベース、メールなど、影響を受ける可能性があるログイン情報を変更します。管理者一覧に見覚えのないアカウントがあれば、作成経緯を確認したうえで削除します。すぐに消してよいか迷うアカウントは、制作会社や過去の保守担当との関係を確認してから判断します。

外部サービスの所有者・連携の確認

アクセス解析や検索管理ツール、広告アカウントなどは、サイト本体とは別に権限が残ることがあります。所有者や管理者の一覧を確認し、心当たりのないユーザー、不要な連携、古いトークンがないかを整理します。

メールとサーバーの利用状況の確認

改ざん時には、サイトが不正な広告へ使われるだけでなく、メール送信が悪用されることもあります。ホスティング会社へ確認し、通常のメール送受信や送信制限への影響がないかを見ます。必要に応じて、サーバーに登録された鍵やアクセス権も見直します。

自分でできることと、復旧担当へ相談したいこと

まず運営者自身でできること

検索結果や主要な下層ページを、ログアウトした状態で確認する
WordPressのユーザー一覧と、最近追加されたプラグインを確認する
現在使っていない旧サイト・テストサイトの有無を制作会社へ確認する
不審な表示の画面、URL、気づいた日時を記録しておく

一方で、不正ファイルの判定、データベースの確認、サーバー権限の整理、原因となった古い環境の撤去は、誤操作すると現行サイトまで止める可能性があります。自信がない場合は、先に現状を保全し、復旧の経験がある担当者へ相談してください。

不正な痕跡が見つからなかったことだけで、情報閲覧や悪用の可能性を完全に否定することはできません。確認できた事実と、確認できない範囲を分けて説明し、必要な予防策を進めることが大切です。

よくある質問

トップページが正常なら、改ざんではないですか？

そうとは限りません。下層URLだけが書き換えられる、検索結果から来た人だけに別の内容を見せる、といったケースがあります。主要ページだけでなく、検索結果に出ているURLやお問い合わせページも確認してください。

古いWordPressは非公開なら放置しても大丈夫ですか？

公開領域からアクセスできる、またはサーバー上に残っていて更新されない状態なら、確認が必要です。不要であれば、バックアップと関係者確認をしたうえで撤去を検討します。

復旧後は何を続ければよいですか？

WordPress本体・テーマ・プラグインの更新、不要なアカウントの整理、バックアップの確認、定期的な表示確認を続けます。小さな違和感の段階で相談できる窓口を持つことも、被害を大きくしない助けになります。

WordPressに少しでも不安を感じたら。

「一部のページだけおかしい」「知らない管理者がいる」「昔のサイトが残っているか分からない」という段階でも、無料初期診断で状況を整理できます。パスワードやFTP情報はフォームへ送らず、まず分かる範囲をお知らせください。

無料初期診断を申し込む WordPressセキュリティコラム一覧を見る