WordPressはウェブの大きな割合を占めており、そのぶん攻撃者に狙われやすい存在です。攻撃の大半は自動化されています。ボットが古いプラグインや弱いパスワードを探し、誰のサイトかを気にせず侵入します。厄介なのは、改ざんされたサイトが、運営者にはまったく普通に見えることが多い点です。
WordPressサイトが改ざんされている可能性のある兆候
目に見える兆候
- ホスティング会社やブラウザが「詐欺サイトの可能性があります」「このサイトは改ざんされている可能性があります」といった警告を表示する。
- 訪問者が別のサイトにリダイレクトされる。スマートフォンのみ、またはGoogleから来たときだけ起こることも多い。
- 作成した覚えのないページ、投稿、リンクがある。
- サイトの見た目が変わっている、またはトップページに「hacked by」というメッセージが表示されている。
検索結果に現れる兆候
- Googleの検索結果で、サイトに予期しない(多くは日本語の)テキストや、医薬品や腕時計などの商品が表示される。詳しくは日本語キーワードハックとファーマハックの解説をご覧ください。
- トラフィックが急に減る、またはGoogle Search Consoleにセキュリティ上の問題に関するメッセージが届く。
WordPressの内部に現れる兆候
- 見覚えのない管理者ユーザー。 「ユーザー」を開き、権限グループが管理者のユーザーに絞り込んで確認します。
- インストールした覚えのないプラグインや、管理画面の一覧からは消えているのにサーバー上には残っているプラグイン。
- ホスティング会社からCPU使用率の異常を指摘される、またはサイトが迷惑メールを送信しているためメールがスパム扱いされる。
- ログインできず、パスワードのリセットも機能しない。
証拠を探す場所
- 部外者の目でサイトを見る。 プライベートウィンドウで開き、モバイル回線のスマートフォンから開き、Googleの検索結果からクリックして開きます。ログイン中の管理者や直接のアクセスからは隠れるマルウェアもあります。
- ページのソースを見る。 見慣れないスクリプト、読めない長い文字列、不明なサイトへのリンクを探します。
display:noneで隠したり、画面のはるか外に配置したりしたリンクは、よく使われる手口です。 - ファイルを調べる。 WordPress本体のファイルを、正常なコピーと比較します。メディアだけが入っているはずの
wp-content/uploadsにPHPファイルがないか探します。更新日時で並べ替え、自分では変更していない最近の変更を探します。 - データベースを調べる。 スパムは投稿テーブルやオプションに埋め込まれることが多くあります。投稿テーブルで、疑わしい単語、
<script、<iframeを検索すると見つかる場合があります。
今すぐできる簡単なチェック
無料のサイト改ざんチェックは、一般の訪問者と同じ外部の視点で調べます。マルウェアやフィッシングのリストを照合し、埋め込まれたスクリプト、隠しリンク、スパムキーワード、クローキングを探します。サーバーの内部は見られないため、問題なしという結果が安全の証明にはなりませんが、問題ありという結果は明確な警告です。
何か見つかったらどうするか
むやみに削除してはいけません。感染したサイトのバックアップを取り、すべてのパスワードを変更し、クリーンなバックアップがあれば復元し、すべてを更新します。サイトが改ざんされたら:最初にやることで、手順を順番に解説しています。
次はもっと早く気づくために
改ざんで最も高くつくのは、感染から気づくまでの時間です。その時間を短くするのが監視の役割です。ServerMonitorはページを定期的にチェックして、埋め込まれたスクリプト、隠しリンク、スパムを探し、マルウェアやフィッシングのリストも確認します。WordPressサイトでは、古いバージョン、既知の脆弱なプラグイン、デバッグログなどの公開ファイルも調べます。何かが変わると通知が届きます。人間が気づくより何日も、何週間も早いことがよくあります。
予防も同じくらい大切です。本体、テーマ、プラグインを最新に保ち、使っていないものは削除し、強力で一意なパスワードと二要素認証を使い、バックアップは同じサーバー以外の場所に保管してください。