「WordPressが乗っ取られたかもしれない」「原因がわからないまま復旧して、また侵入されたら怖い」と困っていませんか？
ワードプレスの乗っ取りは、管理者パスワードの漏えいだけで起きるとは限りません。
古いプラグイン、盗まれたサーバー認証情報、不正な管理者、残されたバックドアなど、複数の侵入経路が重なることもあります。
見えている改ざんだけを直しても、侵入経路が残れば再発します。
大切なのは、証拠を保全して被害範囲と原因を切り分け、正しい順番で復旧することです。
よこやま良平WordPressの復旧を多数手がけてきたよこやま良平です。わたしの現場経験をもとに、乗っ取りの原因を調べ、復旧と再発防止へつなげる手順をわかりやすく解説します。
- WordPressが乗っ取られる代表的な原因と侵入経路
- 症状から優先して調べる場所を決める方法
- 原因を消す前に保存しておきたい証拠
- 初動・復旧・再発防止の正しい順番
- 症状別に参照できる詳しい関連記事
WordPressの乗っ取りは、原因を一つに決めつけず、アカウント・ファイル・データベース・サーバーを横断して調べることで再発リスクを下げられます。
まずは、どこから侵入された可能性が高いかを整理しましょう。
なお「乗っ取り」は、攻撃者がサイトの管理権限や表示内容を実質的に支配した状態を指す言葉です。
管理者アカウントを奪われた場合だけでなく、ファイルやデータベースを書き換えられ、攻撃者が外部から操作できる状態も含みます。
そのため、パスワードを変更してログインできるようになっても、復旧完了とは判断できません。
サイト内に不正な処理が残っていないか、サーバーや外部サービスの認証情報まで漏れていないかを確認する必要があります。
検索結果に偽ページが残る場合は、WordPress本体の修復に加えて、サイトマップ、キャッシュ、Search Consoleの状態も確認します。症状ごとに調査範囲を広げることが、見落としを防ぐ近道です。
こんなお悩みはありませんか？
- ある朝、サイトを開いたら真っ白画面になっていた
- 管理画面にログインできなくなって手が止まった
- 身に覚えのない記事やページが勝手に増えていた
- プラグインを更新したらサイト全体が崩れてしまった
- 以前バックアップを取ったか自分でも覚えていない
累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。
セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。
ワードプレス乗っ取りの代表的な原因と侵入経路
ワードプレス乗っ取りの原因は、主に「脆弱性」「認証情報」「権限」「サーバー環境」の4系統に分けて考えると見落としを減らせます。
古いプラグイン・テーマ・WordPress本体の脆弱性
更新されていないプラグインやテーマには、認証を回避してファイルをアップロードしたり、管理者権限を奪ったりできる脆弱性が残る場合があります。
無効化しただけのプラグインや未使用テーマも、サーバー上にファイルが残っていれば攻撃対象です。
更新履歴、最終更新日、公開された脆弱性情報と、最初の異変が起きた日時を照合します。
管理者・サーバー・FTPの認証情報漏えい
弱いパスワードや使い回しだけでなく、端末のマルウェア感染、偽ログイン画面、漏えい済みパスワード、保存されたFTP情報から侵入されることもあります。
WordPressのパスワードだけを変更しても、サーバーパネルやSFTP、メール、データベースの認証情報が漏れたままでは不十分です。
同じ認証情報を使う範囲を洗い出し、信頼できる端末から一括して変更します。
不正管理者・Application Passwords・バックドア
攻撃者は侵入後、再び入れるように別の入口を作ることがあります。
知らない管理者、Application Passwords、不審なWP-Cron、mu-plugins、PHPファイル、データベース内のコードが代表例です。
- ユーザー一覧と管理者権限を持つアカウント
- Application Passwordsと外部連携
- plugins・themes・mu-plugins・uploads内の不審ファイル
- wp-config.php・.htaccess・データベースoptions
- WP-Cron、アクセスログ、サーバーの操作履歴
WordPressが乗っ取られた時に現れる症状
WordPressの乗っ取りは、トップページの改ざんだけでなく、訪問条件や検索エンジンによって症状が変わるため、複数の確認方法を組み合わせる必要があります。
リダイレクト・検索結果汚染・知らないページ
スマートフォンだけ別サイトへ飛ぶ、Google検索から来た時だけカジノページが出る、知らない外国語ページが検索結果に増える場合は、条件付きリダイレクトやSEOスパムを疑います。
自分のPCで普通に見えるだけでは安全と判断できません。
シークレットウィンドウ、スマートフォン、検索結果経由、Search Console、サイトマップを確認してください。
ログインできない・管理者が増える・設定が戻る
正しいパスワードでログインできない、登録メールが変わる、知らない管理者が増える場合は、アカウントやデータベースを操作された可能性があります。
削除した不正ユーザーやファイルが復活するなら、WP-Cron、mu-plugins、別サイト、サーバー上の別ディレクトリなどに再生成元が残っているかもしれません。
警告・サーバー停止・不審メール送信
ブラウザの危険サイト警告、サーバー会社からの停止通知、送信していないメールの急増も乗っ取りのサインです。
この場合、Webサイトだけでなくメールアカウントや同居サイトまで調査範囲を広げます。
- 決済・会員情報・問い合わせ情報へ不正アクセスされた可能性がある
- 訪問者をフィッシングサイトやマルウェアへ誘導している
- サーバー会社がアカウントやサイトを停止した
- 不審ファイルや管理者を削除しても繰り返し戻る
ワードプレス乗っ取りの原因を調べる順番
原因調査では、先に証拠を保存し、その後に時系列・変更箇所・侵入経路を照合する順番が重要です。
1. 現在のファイル・データベース・ログを保全する
感染した状態でも、原因を示すアクセス時刻、IPアドレス、作成ファイル、ユーザー情報が残っています。
復元や削除の前に、ファイル一式、データベース、アクセスログ、エラーログを別の安全な場所へ保存します。
2. 最初の異変と変更時刻を時系列にする
サーバー通知、Search Consoleの警告、最初に見つかった不審URL、ファイル更新時刻、管理者追加時刻を並べます。
最も古い異変より前のログとバックアップまで確認するのがポイントです。
3. 正規ファイルとの差分とログを照合する
WordPressコアは公式チェックサムと比較できます。
ただし、チェックサムで確認できるのは主にコアファイルであり、uploads、テーマ、プラグイン、データベース、追加されたファイルは別途調査が必要です。
wp core verify-checksums --include-root
wp plugin list --fields=name,status,version,update
wp theme list --fields=name,status,version,update
wp user list --role=administrator --fields=ID,user_login,user_email,user_registeredコマンド結果だけで削除対象を決めず、ファイルの作成時刻とアクセスログのリクエストを突き合わせます。
正規プラグイン内の改ざんやデータベース感染は、一覧だけでは判断できません。
ワードプレス乗っ取りから復旧する正しい流れ
ワードプレス乗っ取りの復旧は、「被害拡大を止める」「入口と残存物を除去する」「安全を確認して公開する」の3段階で進めます。
被害を止めて認証情報を更新する
フィッシングや不正転送が続いている場合は、メンテナンス表示やアクセス制限で訪問者への被害を止めます。
そのうえで、WordPress、サーバーパネル、SFTP、データベース、メール、ドメイン管理の認証情報を変更します。
正規データを基準に再構築する
コア、プラグイン、テーマは、信頼できる配布元の同一または修正版へ置き換えます。
uploads内の実行ファイル、wp-config.php、.htaccess、データベース、不正ユーザー、予約処理も確認してください。
感染前バックアップがあっても、侵入時期より前か、復元後に脆弱性が再び残らないかを確認します。
バックアップを戻すだけで終えると、入口やバックドアまで復元する恐れがあります。
公開前後に再感染と外部評価を確認する
復旧後は、複数条件で表示を確認し、アクセスログとファイル変更を監視します。
Search ConsoleやSafe Browsingに警告がある場合は、完全駆除を確認してから審査を申請します。
- 不正管理者、外部連携、予約処理が残っていない
- PC・スマホ・検索経由で不正転送や偽ページが出ない
- コア・プラグイン・テーマを安全な版へ更新した
- アクセスログとファイル変更を継続監視できる
- サイト外バックアップと復旧手順を用意した
ワードプレス乗っ取り対策として今後行うこと
再発防止は、セキュリティプラグインを一つ入れるだけでなく、更新・認証・監視・バックアップを継続できる運用に変えることが結論です。
更新と不要機能の削除を定期化する
WordPress本体、プラグイン、テーマを更新し、使わないものは無効化ではなく削除します。
更新が止まった製品や配布元が不明な製品は、保守されている代替製品へ切り替えます。
二要素認証と最小権限を使う
管理者アカウントを日常の投稿作業に使わず、必要な権限だけを付与します。
二要素認証、長く固有のパスワード、ログイン試行制限を組み合わせ、退職者や不要アカウントを残さない運用にします。
監視とサイト外バックアップを続ける
ファイル変更、管理者追加、脆弱性、ログイン、外形監視を組み合わせると、異変を早く見つけられます。
バックアップはサーバー内だけに置かず、ファイルとデータベースをセットで世代管理してください。
ワードプレス乗っ取りに関するよくある質問
ワードプレス乗っ取りで判断に迷いやすい点を、復旧前に確認しておきましょう。
WordPress乗っ取りは原因調査と完全復旧をセットで行う
ワードプレスの乗っ取りは、古いプラグイン、認証情報漏えい、不正管理者、バックドア、サーバー環境など複数の原因で発生します。
目に見える改ざんだけを消すのではなく、証拠保全、時系列整理、正規データとの比較、アクセスログ確認を行い、侵入経路と残存物を取り除くことが重要です。
- 復旧や削除の前にファイル・DB・ログを保全する
- アカウントだけでなくサーバー全体の侵入経路を調べる
- 正規データを基準に再構築し、バックドアを残さない
- 公開後もログ・ファイル変更・外形表示を監視する
- 更新・二要素認証・最小権限・サイト外バックアップを継続する
原因を特定できないまま操作を続けると証拠を失うことがあります。
難しいと感じた段階で作業を止め、保存した情報とともに専門家へ相談してください。
WordPressの乗っ取り原因を特定できない時は
WordPressの乗っ取り・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが原因調査から復旧まで対応します。
- WordPressが乗っ取られた原因がわからない
- 管理画面にログインできない・知らない管理者がいる
- 不正転送や改ざんを直しても再発する
- サーバー会社やGoogleから警告を受けた
- 証拠を残したまま安全に復旧したい
- 万一復旧できない場合やマルウェア駆除できない場合は全額返金保証で安心
- 90日間再感染保証・動作保証で安心
- 初期費用・調査費用0円で安心
