ホームページが乗っ取られた時に最初にやること【WordPress緊急対処と完全復旧手順】

「気づいたらホームページが別のサイトになっている」「管理画面にログインできなくなった」「Googleに危険なサイトと表示されている」——そんな状況に突然降りいって、パニックになっていませんか？

ホームページの乗っ取りは、WordPressの脆弱性や弱いパスワードを狙ったサイバー攻撃によって発生します。被害を受けたときに何をすべきかを知らないと、対処が遅れて被害がさらに拡大してしまいます。

この記事では、ホームページが乗っ取られた直後にやるべき緊急対処から、完全復旧・再発防止まで、順番に解説します。

よこやま良平

WordPressの復旧を多数手がけてきたよこやま良平です。わたしの現場経験をもとに、感染確認から完全復旧・再発防止まで丁寍に解説します。

ホームページ乗っ取りのサインを確認する

まず、本当に乗っ取られているのかを確認しましょう。以下のサインが複数当てはまる場合は、早急な対応が必要です。

乗っ取り発覚直後の緊急対処5ステップ

乗っ取りが発覚したら、以下の順番で対処します。冷静に、ひとつずつ進めてください。

ステップ１：サイトをメンテナンス状態にする（オフライン化）

まず、改ざんされたサイトを訪問者に見せ続けることを止めます。感染したサイトにアクセスした訪問者のデバイスにマルウェアが感染する可能性があるため、できるだけ早くオフライン化またはメンテナンス状態にしてください。

ステップ２：すべてのパスワードを変更する

攻撃者がパスワードを取得している可能性があります。以下のすべてのパスワードを今すぐ変更してください。

パスワードは16文字以上の英数字・記号の組み合わせにしてください。同じパスワードの使い回しは絶対に避けましょう。

ステップ３：身に覚えのない管理者ユーザーを削除する

WordPress管理画面にログインできる場合は、ユーザー一覧を確認して、身に覚えのないユーザーを削除します。

ステップ４：サーバー会社・ホスティング会社に連絡する

多くのレンタルサーバー会社は、マルウェア感染・不正アクセスのサポートを行っています。早めに連絡することで、バックアップの保全・アクセスログの提供・セキュリティ診断などの支援を受けられる場合があります。

ステップ５：バックアップの状況を確認する

感染前のバックアップがあれば、それを使って復元できる可能性があります。以下の場所にバックアップが保存されていないか確認してください。

管理画面にログインできない場合の対処法

攻撃者に管理者パスワードを変更されてしまい、WordPress管理画面にログインできなくなった場合の対処方法です。

方法１：メールでパスワードリセットを試みる

まず、ログイン画面の「パスワードをお忘れですか？」からパスワードリセットメールの送信を試みます。登録したメールアドレスが攻撃者に変更されていなければ、この方法でパスワードをリセットできます。

方法２：phpMyAdminでパスワードを直接変更する

メールリセットが使えない場合は、データベースを直接操作してパスワードを変更します。

方法３：WP-CLIでパスワードを変更する

サーバーにSSHでアクセスできる場合は、WP-CLIを使ってコマンドラインからパスワードを変更できます。

# ユーザー一覧を確認する
wp user list

# 管理者のパスワードを変更する（USER_IDを実際のIDに変更）
wp user update USER_ID --user_pass="新しいパスワード"

マルウェア・バックドアの検出と完全駆除

管理画面に入れるようになったら、次はマルウェアとバックドアの検出・駆除を行います。バックドアとは、攻撃者がいつでも再侵入できるように仕掛けた「隠し扉」です。バックドアを残したまま復旧しても、すぐに再感染してしまいます。

方法１：Wordfenceでマルウェアスキャンを実行する

Wordfenceは無料版でも高精度のマルウェアスキャンができます。感染ファイルの検出と修正に役立ちます。

方法２：バックアップからの復元（最も確実な方法）

感染前のクリーンなバックアップが確認できた場合は、バックアップから復元するのが最も確実な方法です。

方法３：WordPressのクリーンインストール

バックアップがない・バックアップも感染している可能性がある場合は、WordPressをクリーンインストールして、記事データ（データベース）だけを移行する方法もあります。

データベース内にもマルウェアのコード（不審なJavaScript・リダイレクトコードなど）が埋め込まれている場合があります。phpMyAdminで「eval(」「base64_decode」などの文字列を検索してください。

GoogleブラックリストとSafe Browsingの解除申請

Googleの検索結果に「このサイトは危険です」と表示されている場合、Googleのセーフブラウジング（Safe Browsing）ブラックリストに登録されています。マルウェアを駆除した後、Googleに審査を申請する必要があります。

復旧後の再発防止策

乗っ取りから復旧した後も、同じ弱点を放置すると再び攻撃を受けます。以下の再発防止策を必ず実施してください。

WordPressコア・プラグイン・テーマをすべて最新版にする

古いバージョンには既知の脆弱性が存在します。攻撃者はその脆弱性を利用してサイトに侵入します。WordPressの管理画面の「更新」から、コア・プラグイン・テーマをすべて最新版にアップデートしてください。

使っていないプラグイン・テーマを完全削除する

無効化しているだけでは脆弱性が残ります。使っていないプラグインとテーマは「削除」してください。特に更新が止まっているプラグイン（最終更新かヽ年以上経過）は脆弱性のリスクが高いため、代替プラグインへの移行を検討してください。

セキュリティプラグインを導入する

復旧後は、セキュリティプラグインを導入して継続的な保護を行いましょう。以下のプラグインの組み合わせがおすすめです。

二段階認証を設定する

パスワードが漏れても不正ログインを防ぐ最強の対策が二段階認証（2FA）です。Solid SecurityまたはWordfenceの無料版から設定できます。

定期バックアップを必ず設定する

再び感染した際に素早く復旧できるよう、定期バックアップの設定は必須です。UpdraftPlusを使って、週1回以上のバックアップをサーバー外（Google ドライブやDropbox）に保存してください。

乗っ取られたことを訪問者や顧客に通知する必要がありますか？

顧客の個人情報（氏名・メールアドレス・クレジットカード情報など）が流出した可能性がある場合は、個人情報保護法に基づき本人への通知と個人情報保護委員会への報告が必要です。ECサイトや会員制サービスを運営している場合は、法律の専門家に相談することを強くおすすめします。個人情報の取り扱いがない情報発信系のブログであれば、通知義務は発生しないことが多いです。

バックアップがない場合、復旧は可能ですか？

バックアップがない場合でも復旧は可能ですが、時間と技術的な知識が必要です。WordPressのクリーンインストール・データベースの不審コード削除・プラグインとテーマの再設定などを手動で行う必要があります。自力での対応が難しい場合は、WordPressの復旧専門サービスへの依頼を検討してください。

乗っ取りの原因はどやって特定しますか？

サーバーのアクセスログを分析することで、どのIPアドレスからどのファイルにアクセスされたか確認できます。Wordfenceのスキャン結果に表示される改ざんされたファイルの日時も参考になります。多くの場合、古いプラグインの脆弱性・弱いパスワード・管理者ID「admin」の使用が原因です。

自分で復旧できるか不安です。プロに頼む基準は？

以下のいずれかに当てはまる場合は、専門家への依頼を検討してください。①管理画面にも入れずFTPの操作も難しい、②Wordfenceのスキャンで大量のファイルに感染が検出されている、③バックアップがなく感染範囲が広い、④ECサイト・会員制サービスで個人情報漏洎の可能性がある、⑤復旧を試みたが再感染してしまう。このような状況では、自力での対応よりも専門家に依頼した方が時間的・経済的に有利な場合が多いです。

ホームページ乗っ取り対処まとめ

ホームページが乗っ取られた場合、初動対応のスピードが被害の拡大を防ぐカギです。パニックにならず、順番に対処してください。

自分での対処が難しいと感じたら、無理をせずに専門サービスへの依頼を検討してください。対処が遅れるほど被害が拡大します。

ホームページの乗っ取りが自分で解決できない時は

ホームページの乗っ取り・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが解決します。

こんなお悩みなら最短30分ですぐに解決します！
いまなら期間限定で3つの安心保証