WordPressサイトが改ざんされた？今すぐ確認すべき5つのサインと対処法

「サイトが改ざんされる」と聞くと、トップページが真っ黒になって犯行声明が表示される——そんな光景を想像するかもしれません。しかし実際に起きている改ざんの多くは、まったく逆です。見た目は何ひとつ変わらないまま、静かに進行します。

WordPressは世界のWebサイトの約4割で使われています（W3Techs調べ）。これは「作りやすくて情報が多い」という大きなメリットの裏返しでもあります。攻撃する側から見れば、ひとつの手口を見つければ世界中の膨大なサイトに使い回せる、非常に効率のいい標的だということです。

そして厄介なことに、多くのサイトオーナーが改ざんに気づくのは「Googleに警告を出されてから」「お客様から指摘されてから」です。その時点では、すでに検索順位が落ち、訪問者が離れた後ということも少なくありません。

この記事では、専門知識がなくても今すぐ自分で確認できる5つのサインと、もし見つかってしまった場合の正しい初動をご説明します。

サイン1：身に覚えのないページが増えていないか

最も多い改ざんが「SEOスパム」と呼ばれる手口です。あなたのサイトの中に、まったく関係のない宣伝ページ（海外の医薬品、ブランド品、ギャンブルサイトなど）を大量に作られてしまいます。あなたのサイトが長年かけて積み上げた検索エンジンからの信頼を、そのまま乗っ取って悪用するわけです。

確認方法：Googleの検索窓に、以下のように入力して検索してください。

site:あなたのドメイン.com

これは「このサイト内のページだけを表示して」という意味の検索方法です。表示された一覧をスクロールして、見覚えのないタイトルのページが紛れ込んでいないか確認します。特に、英語や中国語のページ、意味不明な文字列のページがあれば要注意です。

ページ数が普段より極端に多い場合も危険信号です。10ページしかないはずのサイトで数百件がヒットしたら、ほぼ間違いなく何かが起きています。

サイン2：スマホや検索経由でだけ別サイトに飛ばされないか

「自分でURLを打ち込んで開くと普通に表示されるのに、お客様からは『変なサイトに飛ばされた』と言われる」——このような報告は珍しくありません。

これは攻撃者が意図的に仕込む挙動です。サイトの持ち主にバレると対処されてしまうため、「スマートフォンからのアクセス」「検索結果からのアクセス」など、特定の条件のときだけ別サイトへ転送するように設定されていることがあります。パソコンから直接URLを入力した管理者には、いつも通りの正常なサイトが見えるというわけです。

確認方法：スマートフォンで「シークレットモード（プライベートブラウズ）」を開き、Googleで自社名を検索し、検索結果のリンクからサイトを開いてください。URLを直接入力するのではなく、必ず検索結果を経由するのがポイントです。

サイン3：検索結果に表示される文章がおかしくないか

サイト自体は正常に見えても、Googleの検索結果に表示されるタイトルや説明文だけが、身に覚えのない内容に書き換えられているケースがあります。

確認方法：サイン1と同じ site:あなたのドメイン.com の検索結果で、各ページのタイトルと、その下に表示される説明文を読んでみてください。日本語として不自然な文章、意味の通らない単語の羅列、まったく扱っていない商品名などが出ていれば、改ざんの可能性が高いと考えられます。

サイン4：ブラウザに警告が表示されないか

「このサイトは安全ではありません」「偽のサイトにアクセスしようとしています」といった赤い警告画面が出るようになったら、それはすでに最終段階です。Googleが危険なサイトとして登録した状態で、この警告が出ている間、訪問者はほぼ確実に引き返します。

確認方法：Google Search Console（無料）に登録している場合は、左メニューの「セキュリティと手動による対策」→「セキュリティの問題」を確認してください。ここに何も表示されていなければ、現時点でGoogleは問題を検出していません。

まだSearch Consoleを登録していない場合は、これを機に登録しておくことを強くおすすめします。トラブルの早期発見手段として、これ以上に費用対効果の高いものはありません。

サイン5：管理画面に見覚えのないユーザーがいないか

5つの中で、これが最も深刻なサインです。

確認方法：WordPressの管理画面にログインし、左メニューの「ユーザー」を開きます。一覧に、あなたが作成した覚えのないアカウントが存在しないか確認してください。特に「権限グループ」の欄が管理者になっている不明なアカウントがあれば、サイトの主導権をすでに奪われている状態です。

この場合、単にそのユーザーを削除するだけでは解決しません。攻撃者は再侵入するための「裏口」をサイト内の複数箇所に仕掛けているのが一般的だからです。

改ざんが疑われたとき、やってはいけないこと

ここが最も重要な部分です。慌てて手を動かすと、かえって状況が悪化します。

• 怪しいファイルをいきなり削除する……侵入経路が残ったままだと、消しても数日で元通りになります。同時に、原因を突き止めるための手がかりも失われます。
• とりあえずプラグインを全部削除する……サイトが表示されなくなるだけで、根本解決にはなりません。
• 古いバックアップで上書きして「解決」とする……そのバックアップ自体がすでに汚染されている可能性があります。いつ侵入されたかを特定せずに戻すのは危険です。

正しい初動の4ステップ

1. サイトを一時的に非公開にする……訪問者への二次被害（ウイルス感染や個人情報の詐取）を止めることが最優先です。サーバーの管理画面からアクセス制限をかけるか、メンテナンス表示に切り替えます。
2. 現状のまま、まるごとバックアップを取る……汚染された状態であっても、原因調査には必要な資料です。上書きせず、別名で保存してください。
3. すべてのパスワードを変更する……WordPressの管理者、サーバーのFTP、データベース、この3つはすべて変更します。同じパスワードを他サービスで使い回している場合は、そちらも変更が必要です。
4. 専門業者かサーバー会社に連絡する……多くのレンタルサーバーには、改ざん被害の相談窓口があります。まずはそこに状況を伝えてください。

正直に申し上げると、改ざんからの完全な復旧を自力で行うのは、かなり難しい作業です。裏口は巧妙に隠され、通常のファイルに紛れ込ませる形で複数設置されているのが普通だからです。1つ見つけて安心していると、残りの1つから再び侵入されます。

そもそも改ざんされないために

侵入経路の大半は、実はとてもシンプルです。「更新されていない古いプラグイン・テーマ・WordPress本体」と「推測されやすいパスワード」。この2つで大部分を占めます。

裏を返せば、次の4つを続けているだけで、リスクは大きく下げられます。

• WordPress本体・テーマ・プラグインを定期的に更新する
• 使っていないプラグインとテーマは「停止」ではなく「削除」する
• 管理者パスワードを推測されにくいものにする
• 自動バックアップを設定し、復元できることを一度は確認しておく

地味な作業ですが、この積み重ねが最も効果的な防御です。保守として具体的に何をすべきかは、WordPressの保守とは？やらないと起きる7つのリスクで詳しくご説明しています。

まとめ

改ざんは「派手に壊れる」のではなく「静かに進行する」ものです。だからこそ、定期的に自分の目で確認する習慣が何よりの防御になります。

今回ご紹介した5つのサインは、どれも数分で確認できるものばかりです。まずは site: 検索から、今すぐ試してみてください。