WordPressの改ざんに気づく方法｜自分で見る4つの所と、見張りを任せる対策
- 著者
ゆきしょう
こんにちは、ゆきしょうです。
WordPressの改ざんは、持ち主から見えにくい形で起きます。
自分で見る所を4つと、見張りの任せ先、気づいたあとの手順を書きます。
改ざんは、持ち主から見えにくい形で起きる
Googleは、ハッカーが持ち主に気づかれないように細工するのは珍しくない、としています。
人と検索エンジンに違う中身を見せたり、いまあるページに見つけにくい形で中身を足したりする手口です。
開いたら真っ白だった、別のサイトへ勝手に飛ばされた、という目に見える被害もあります。
サイトを探して回る攻撃も、国内で確認されました。
国内のWAFの会社が、AIエージェントによる日本の企業のサイトへの攻撃を確認したと発表しています。
その攻撃は、管理画面やバックアップファイルを、約30秒で約90種類探していました。
見た目に出ない分は、次の4つで確かめます。
まずSearch Consoleの「セキュリティの問題」を見る
Googleがハッキングを見つけると、Search Consoleの「セキュリティの問題」に結果が出ます。
問題がなければ、緑のチェックマークが付きます。
問題があれば、検索結果に警告が付いたり、開いた人のブラウザに警告のページが出たりします。
Search Consoleにサイトを登録していない人は、まず登録してください。
Search Consoleに、知らない所有者が増えていないか見る
日本語キーワードによるハッキングという手口があります。
サイトの中に、自動で作った日本語の文のページを勝手に増やすものです。
偽ブランド品を売る店へのアフィリエイトリンクで稼ぐのが特徴です。
この手口では、ハッカーがSearch Consoleに自分を所有者として足すことがあります。
知らない人が所有権を確認した、という通知が来たら要注意です。
Googleは、その場合はハッキングされている可能性が非常に高いとしています。
Search Consoleの「設定」から「ユーザーと権限」を開き、覚えのない所有者がいないか見てください。
いたら、できるだけ早く外します。
あわせて、その人が置いた確認トークンも消します。
確認トークンは、たいていサイトのルートにあるHTMLファイルか、.htaccessで作られた偽のHTMLファイルです。
「site:」で検索して、知らないページが無いか見る
Googleの検索窓に「site:」とサイトのURLを入れると、Googleに載っているページが並びます。
例えば「site:example.com」です。
何ページかめくって、作った覚えのないURLや、意味の通らない日本語を探します。
開いて404が出ても、安心はできません。
消えたように見せて、隠しているだけのことがあるからです。
怪しいURLは、Search ConsoleのURL検査ツールに入れると、隠れた中身を確かめられます。
Googleで見つからなければ、ほかの検索エンジンでも同じように調べます。
WordPressのユーザー一覧に、作った覚えのない人がいないか見る
管理画面の「ユーザー」も開きます。
WordPress公式のFAQは、新しいユーザーが勝手に作られることを、ハッキングの兆しに挙げています。
作った覚えのないユーザーがいたら、下の「気づいたら、先にやること」に進んでください。
マルウェアと改ざんの見張りは、任せられる
Search Consoleとユーザー一覧は、自分で見ます。
サイトの中のマルウェアや脆弱性は、外の見張りに任せられます。
その1つが、SiteLock（サイトロック）です。
申し込みは、GMOデジロックのバリュードメインからです。
WordPressなどの脆弱性診断、改ざんの見張り、マルウェアの検知と駆除をまとめて受け持ちます。
4つのプランとも、マルウェア診断とブラックリストの監視は毎日1回です。
WordPress診断は、週・月・四半期に1回から選べます。
問題があれば、すぐメールで知らせが来ます。
いちばん安いエコノミーは、月額880円（税込）です。
年額なら8,800円です。
初期費用は0円です。
エコノミーで診断できるのは、100ページまでです。
診断するドメインは、1つの契約につき1つです。
ほかの会社で取ったドメインでも使えます。
ほかの会社のサーバーで「SMART診断」を使うには、FTPかSFTPでの接続を許可しておく必要があります。
月額と年額は、契約の途中で切り替えられません。
公式のよくある質問には「返金は致しかねます」とあります。
申し込む前に、月額か年額かを決めておきます。
サーバーの会社のマルウェア検知をすでに使っていて、中身に足りない所が無い人は、入れなくて大丈夫です。
更新やバックアップまで丸ごと任せたい人には、WP保守ガードもあります。
ライトプランの初期費用は、33,000円です。
月額は14,300円（税込）です。
定期バックアップと、不正アクセスの監視が入っています。
WordPressの更新を自分でこなせる人には、要らない金額です。
改ざんに気づいたら、先にやること
WordPress公式のFAQの並びで、上から順に進めます。
- レンタルサーバーの会社に、被害が広がっていないか、対策を取っているかを確かめる
- WordPress・FTP・サーバーの管理画面・データベースのパスワードを全部変える
- WordPressのキージェネレーターで新しい秘密鍵を作り、wp-config.phpに上書きする
- 残っているファイルとデータベースのバックアップを、被害を受けたものと分かる名前で取る
- .htaccessやindex.phpに足されたコードを探して消す
- 本体・プラグイン・テーマのファイルを、新しくダウンロードしたものと入れ替える
- WordPressを最新の版に上げる
- きれいになったら、パスワードをもう一度変える
秘密鍵を新しくするのは、パスワードを変えても、盗んだ人がログインしたままになるのを防ぐためです。
共有サーバーだと、自分のサイト以外にも被害が及ぶことがあるので、サーバーの会社への確認を先にします。
Search Consoleに警告が出ていたら、直したあとに「審査をリクエスト」を押します。
審査は、ほとんどが数日から数週間かかります。
あわせて読む記事
私は自分のブログを、WordPressからEmDashという別のCMSに移しました。
WordPressのままでいいか迷っている人は、比べた記事も読んでみてください。
PHPの脆弱性で何をすればいいかは、こちらに書きました。
以上、WordPressの改ざんに気づくために見る所と、見張りの任せ先の話でした。
