WordPressの改ざん復旧でバックアップを戻すだけでは危険な理由

WordPressが改ざんされ、「バックアップを戻せば元どおりになる」と考えていませんか？
確かに、壊れた表示や書き換えられたファイルを以前の状態へ戻せることはあります。

しかし、改ざん復旧ではバックアップ復元だけで作業を終えるのは危険です。
侵入口や盗まれた認証情報が残っていれば、復元直後は正常でも数時間後や数日後に再び改ざんされる恐れがあります。

結論から言うと、バックアップは「過去のデータへ戻す道具」であり、「侵入原因を取り除く道具」ではありません。
改ざん復旧では、証拠保全、復元時点の確認、侵入口調査、認証情報の更新、復元後検証までを一つの作業として進める必要があります。

WordPressの改ざん復旧でバックアップだけでは危険な理由

WordPressの改ざん復旧で最初に理解したいのは、バックアップ復元で戻せる範囲には限界があることです。
復元対象に含まれない場所や、復元後も有効な認証情報までは元に戻せません。

バックアップで戻るのは保存されていたファイルとデータベースです

一般的なWordPressバックアップには、WordPress本体、テーマ、プラグイン、画像などのファイルと、投稿・設定・ユーザー情報を持つデータベースが含まれます。
同じ時点の両方を正しく戻せれば、画面や記事を過去の状態へ近づけられます。

ただし、保存方式によってはメール、DNS、サーバーアカウント、アクセスログ、サーバー全体の定期処理が対象外です。
「サーバーのバックアップ」という名称でも、契約領域すべてが同じ時点へ戻るとは限りません。

盗まれたパスワードや有効なセッションは復元では無効になりません

攻撃者がWordPress管理者、サーバー、FTP・SFTP、データベース、メールの認証情報を入手している場合、ファイルを戻してもその認証情報は使えるままです。
ログイン中のセッションやAPIキーも、別の方法で失効させなければ残ることがあります。

たとえば、きれいなテーマへ戻しても、攻撃者がサーバー管理画面へ入れるなら再びファイルを置けます。
見た目が正常になったことと、安全になったことは同じではありません。

そのため、復元は重要な手段ではありますが、改ざん復旧全体の一工程として扱うのが正解です。

WordPressの改ざん復旧で安全なバックアップ時点を選ぶ方法

WordPressの改ざん復旧では、最も新しいバックアップではなく、感染前と判断できるバックアップを選ぶことが重要です。
新しいほど安全とは限らず、症状が表面化する前から侵入されていた可能性があります。

症状が出た日ではなく最初の不審な変化を基準にします

検索結果の異常や不正リダイレクトに気づいた日が、侵入日とは限りません。
攻撃者は侵入直後に目立つ変更をせず、後から動かすためのバックドアだけを置くことがあります。

投稿履歴、ユーザー登録日時、ファイル更新時刻、プラグイン導入日、サーバーログ、Googleからの警告時刻を並べ、最も古い不審な変化より前を候補にします。
判断材料が少ない場合は、一つの日時に決めつけず複数世代を保全してください。

復元前にバックアップを直接公開せず検査します

候補バックアップをそのまま本番へ戻す前に、別の安全な環境で内容を確認するのが理想です。
WordPressコアの差分、不明なPHPファイル、難読化コード、不審ユーザー、覚えのないプラグイン、データベース内の外部URLなどを調べます。

ウイルススキャンで何も出なかっただけで安全と断定してはいけません。
正規機能に見えるコードや、新しい亜種、データベースだけの改ざんは自動検出をすり抜けることがあります。

通常の復元操作については、ファイルとデータベースの時点をそろえる理由も含めて整理した記事があります。

WordPressの改ざん復旧でバックアップ外に残る侵入口

WordPressの改ざん復旧では、wp-contentやデータベースだけでなく、WordPressの外側も確認しなければなりません。
侵入口がホスティングアカウントや別サイトにあると、対象サイトだけ戻しても再侵入されます。

同じサーバーの別サイトや上位ディレクトリを確認します

一つの契約に複数サイトを置いている場合、別サイトの古いCMSや放置プラグインが侵入口になることがあります。
対象WordPressを復元しても、同じ権限で書き込める別ディレクトリにバックドアが残っていれば再感染につながります。

ドキュメントルートの一つ上、共通の一時フォルダ、公開ディレクトリ外、サーバー側のCronや自動実行も確認範囲です。
見覚えのないファイルをすぐ削除せず、時刻・パス・権限・内容を保存してから正規ファイルと比較します。

ドメイン・DNS・メール・外部連携も切り分けます

訪問者が別サイトへ飛ばされる症状は、WordPress内の改ざんだけでなくDNSやCDNの設定変更でも起きます。
ドメイン管理アカウントが奪われているなら、WordPressを何度戻しても通信先を変えられます。

メールアカウントが侵害されると、パスワード再設定メールを攻撃者が受け取る可能性があります。
さらに、外部のデプロイキー、Git、バックアップサービス、決済・フォーム連携のAPIキーも、被害範囲に応じて更新が必要です。

このように、改ざん復旧はWordPress単体の修理ではなく、サイトを動かす周辺環境まで含む事故対応です。

WordPressの改ざん復旧を安全に進める7ステップ

WordPressの改ざん復旧は、復元ボタンを押す前に調査材料を残し、侵入口を閉じる準備をしてから進めます。
順番を守ることで、原因を消してしまう失敗と、復元直後の再侵入を減らせます。

作業前の状態は感染していても保全します

現在のデータは安全な公開用バックアップではありませんが、原因を調べる証拠になります。
攻撃元IP、侵入時刻、不審ファイルの関連、改ざんされた範囲を確認するために必要です。

保全データは本番へ戻すバックアップと混同せず、書き込みを止めた別領域へ保存します。
ファイル名に取得日時を入れ、誰が何を取得したかも記録すると、後から比較しやすくなります。

パスワード変更は安全な端末と順番を意識します

端末自体が不審な場合、同じ端末から変更した新しいパスワードも盗まれる恐れがあります。
安全を確認した端末から、メール、ドメイン、サーバー、WordPress、データベース、外部連携の順に上位の入口から守ります。

WordPressでは全ユーザーのセッションを失効させ、`wp-config.php` の認証用ソルトも更新します。
退職者や不明な管理者を整理し、必要な人だけに最小限の権限を付け直してください。

わたしの実務では、表示が戻った時点を完了にせず、侵入口の説明と再発確認ができる状態までを復旧として扱います。

WordPressの改ざん復旧で最新データを失わない戻し方

WordPressの改ざん復旧では、古い安全なバックアップへ丸ごと戻す前に、感染後に増えた正規データを分けて考える必要があります。
安全性だけを優先して過去へ戻すと、注文、問い合わせ、会員情報、予約、投稿の更新まで失うことがあるためです。

古い安全な土台と最新の正規データを分けます

安全な復旧では、改ざん前のバックアップをクリーンな土台として使い、感染後に追加されたデータは内容を検査して必要なものだけ移します。
サイト全体を一度に戻すのではなく、プログラム部分と事業データを分けて扱う考え方です。

たとえば、テーマやプラグインは公式配布元から入れ直し、画像は拡張子と中身を確認して移行します。
注文や問い合わせは、個人情報を安全に扱える方法で退避し、不審な管理者・スクリプト・外部URLを混ぜずに反映します。

本番へ戻す前に隔離環境で差分を確定します

復元と移行は、可能なら外部からアクセスできない隔離環境で組み立てます。
そこでログイン、表示、フォーム、注文、ユーザー権限を確認し、元の感染環境との差分を記録してから本番へ切り替えます。

隔離環境で使うドメインや認証情報は本番と分け、検索エンジンにも公開しません。
感染済みファイルを実行可能な状態で開かないことも重要です。検体を確認する必要がある場合は、専門知識のある担当者へ任せてください。

WordPressの改ざん復旧後に行う安全確認

WordPressの改ざん復旧後は、トップページが表示できるだけで完了にしてはいけません。
攻撃者が使った経路、検索エンジンから見える状態、管理機能、外部連携まで確認して初めて公開判断ができます。

公開画面と管理画面を複数条件で確認します

PCとスマートフォン、ログイン前後、検索結果からのアクセス、直接URL入力など条件を変えて確認します。
不正リダイレクトは、特定端末・参照元・時間帯だけで動くように作られている場合があるためです。

管理画面ではユーザー、プラグイン、テーマ、投稿、固定ページ、ウィジェット、リダイレクト設定、Cronを確認します。
問い合わせフォームや決済があるサイトは、見た目だけでなく実際の送受信・決済手前までテストしてください。

復元後の差分とログを一定期間監視します

復元直後の正常なファイル一覧やハッシュ、管理者一覧を基準として保存し、その後の変化を監視します。
不明なPHPファイルの再作成、不審なログイン、外部通信、急な負荷、メール送信増加がないかを確認します。

Google Search Consoleやブラウザの警告が出ていた場合、サイト側を直した後に再審査やURL確認が必要です。
検索結果のスパムページはすぐ消えないこともあるため、インデックス状況を継続して見ます。

復旧後の設定見直しは、再感染を防ぐための専用記事も参考にしてください。

WordPressの改ざん復旧後にバックアップ運用を見直す方法

WordPressの改ざん復旧後は、次の事故で安全な復元時点を選べるよう、バックアップの保存方法も見直してください。
一世代だけを自動上書きする運用では、感染に気づいた時には正常なデータが残っていないことがあります。

複数世代を本番サーバーとは別の場所へ保存します

日次だけでなく週次・月次も組み合わせ、複数世代を残します。
本番サーバーと同じアカウント内だけに保存すると、アカウント侵害やサーバー障害でバックアップまで削除・暗号化される可能性があります。

外部ストレージへ複製し、バックアップ用アカウントには多要素認証と最小権限を設定します。
可能であれば、一定期間は変更や削除ができない保存方式も検討すると、攻撃者による証拠消去に強くなります。

取得成功ではなく復元できることを定期確認します

管理画面に「バックアップ成功」と出ていても、ファイルが欠けている、データベースが壊れている、暗号化キーを失っていることがあります。
定期的に隔離環境へ復元し、ログインと主要機能まで確認して初めて使えるバックアップと判断できます。

バックアップは「あるかどうか」ではなく、「正常な世代を選び、必要な時に安全に戻せるか」で評価してください。

WordPressの改ざん復旧を自分で続けない判断基準

WordPressの改ざん復旧で、侵入時点や影響範囲を説明できない場合は、バックアップ復元だけで公開を再開しないでください。
分からないまま操作を増やすほど、証拠が消えたり正常データを失ったりする危険が高まります。

自分で続けてもよいのは原因と戻し方が明確な場合です

直前の誤編集や更新失敗で、侵害の兆候がなく、正常なバックアップと戻し方が確認できているなら自力復元を検討できます。
それでも本番の現状バックアップを取り、復元後の機能確認まで計画してから始めます。

改ざんの兆候が複数ある時は専門調査へ切り替えます

不審ユーザー、複数の不明ファイル、検索結果汚染、条件付きリダイレクト、メール悪用、サーバー停止が重なっている場合、影響範囲はWordPressだけではない可能性があります。
バックアップ世代が少ない、ログがない、サーバーへ入れない場合も自己判断は難しくなります。

専門家へ渡す時は、症状、発見日時、行った操作、利用サーバー、保有バックアップ、ログ、警告画面を整理してください。
途中まで自分で作業した場合も、削除したものや変更したパスワードの種類を正確に伝えると調査しやすくなります。

個人情報や取引データがあるサイトは影響確認を優先します

会員、問い合わせ、注文、予約などの個人情報を扱うサイトでは、表示復旧より先に情報への不正アクセス有無を確認すべき場合があります。
バックアップを戻してログを消したり、侵害された環境を初期化したりすると、後から影響範囲を判断しにくくなります。

アクセスログ、管理操作履歴、メール送信履歴、データの持ち出しを示す通信が残っているかを保全し、契約先サーバーや必要な専門家へ早めに相談してください。
法令・契約・社内規程に基づく報告が必要かどうかは、扱う情報と確認できた事実を分けて判断します。

この段階では、被害を小さく見せるために断定したり、反対に根拠なく情報漏えいと決めつけたりしないことが大切です。
確認できた事実、未確認の可能性、実施した封じ込めを時系列で残すと、利用者への説明や再発防止にも役立ちます。

WordPressの改ざん復旧とバックアップに関するよくある質問

昨日のバックアップへ戻せば改ざんは消えますか？

昨日より前に侵入されていれば、バックアップにも不審コードやユーザーが含まれる可能性があります。症状の発見日ではなく、ログやファイル日時から最初の不審な変化を確認し、候補を検査してから戻してください。

復元後にパスワードを変えれば十分ですか？

WordPress管理者だけでは不十分です。メール、ドメイン、サーバー、FTP・SFTP、SSH、データベース、外部連携も被害範囲に応じて更新し、既存セッションやAPIキーを失効させる必要があります。

感染済みの現在データは捨ててもよいですか？

すぐ捨てないでください。公開用には戻せなくても、侵入時刻、改ざん範囲、バックドアの関連を調べる証拠になります。本番復元用と区別し、外部から実行できない場所へ保全します。

復元直後に正常なら公開してよいですか？

トップページだけで判断しないでください。PC・スマホ・検索経由、管理者一覧、ファイル差分、Cron、フォームや決済、サーバーログを確認し、侵入口を閉じたと説明できる状態にしてから公開を判断します。

WordPressの改ざん復旧はバックアップ復元後の確認まで行いましょう

WordPressの改ざん復旧でバックアップを戻すことは、壊れたデータを立て直す有効な手段です。
ただし、それだけでは盗まれた認証情報、外部の侵入口、感染済みバックアップ、DNSやサーバー設定までは解決できません。

安全な復旧に必要なのは、現在の証拠を残し、感染前の復元ポイントを選び、WordPress外も調査し、認証情報を更新したうえで、復元後の差分とログを確認することです。
「表示が戻った」ではなく「侵入原因を説明でき、再発の兆候がない」状態を完了の基準にしてください。

WordPressの改ざんがバックアップ復元だけで直らない時は

ホームページの改ざん・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが原因調査から復旧、再発防止まで対応します。

初期費用・調査費用0円です。原因が分からない状態でも、まずは現在の症状と行った操作をお知らせください。