WordPressセキュリティチェックで異常を見つけた時の初動｜止める・残す・相談する

WordPressのセキュリティチェックで、見覚えのない管理者、改変ファイル、
不審な転送やマルウェア警告を見つけ、何から触ればよいか迷っていませんか？

異常を見つけた直後は、早く直したい気持ちから、更新・削除・復元を急ぎがちです。
しかし、最初の操作を誤ると、被害範囲や侵入経路を調べる手掛かりまで消してしまいます。

結論から言うと、異常を発見したら、新しい変更を止め、発見時点を記録し、
影響が大きい場合は調査できる人へ早めに相談します。

この段階では「感染確定」と決めつける必要はありません。
正常な更新や設定変更との違いを確認できるよう、現状を壊さずに材料を残すことが大切です。

WordPressセキュリティチェックで異常を見つけた最初の30分

最初の30分の目的は、マルウェアを完全に駆除することではありません。
被害を増やさず、後から正しく調べられる状態を確保することが目的です。

複数人が管理しているサイトでは、担当者ごとに更新・復元・パスワード変更を始めると、
どの変化が攻撃によるものか、社内作業によるものか分からなくなります。

管理画面・FTP・サーバーでの変更を一旦止める

まず、プラグイン更新、テーマ編集、不要ファイル削除、キャッシュ全削除、
バックアップ復元など、WordPressの状態を変える操作を一旦止めます。

公開被害がなく、警告が一件だけなら、サイトを直ちに停止する必要がない場合もあります。
一方、偽ページ、外部転送、情報入力画面の改ざんが見えるなら、公開範囲の制限を優先します。

「何もしない」のではなく、書き換える作業だけを止め、記録と確認を続けると考えてください。

発見者・時刻・画面・直前の変更を記録する

発見した人、発見時刻、タイムゾーン、確認した端末、URL、警告文、
直前に行った更新や設定変更を一つのメモへまとめます。

同じ症状でも、管理者だけに表示されるのか、検索経由だけなのか、
特定の端末や地域だけなのかで、確認する場所が変わります。再現条件も書き残してください。

社内連絡と外部連絡の担当を一人ずつ決める

制作会社、サーバー会社、保守会社へ同時に連絡する場合は、
社内の窓口を一人に決め、同じ時系列と証拠を共有します。

問い合わせ先ごとに異なる説明をすると、復元作業と調査作業が競合しやすくなります。
「変更はまだしていない」「どこまで保存済みか」も伝えると判断が早くなります。

30分後にそろっていればよいものを決める

30分で原因まで特定しようとすると、確認不足のまま削除や復元へ進みやすくなります。
この時点では、発見メモ、証拠の保存先、変更停止の共有、連絡窓口がそろえば十分です。

公開被害がある場合は、どのページや機能を制限したかも記録します。
サイト全体を止められない時は、決済・ログイン・フォームなど、影響の大きい機能から優先してください。

次の担当者へ引き継ぐ時は、確認済み・未確認・作業禁止の三つに分けます。
同じ確認を繰り返さず、未確認事項へ集中できるため、復旧までの時間を短縮しやすくなります。

WordPressセキュリティチェックの異常で先にしてはいけないこと

異常を見つけた時に最も避けたいのは、「警告が消えた＝安全」と判断することです。
表面のファイルを消しても、別の場所に再生成元が残っている場合があります。

怪しいファイルをすぐ削除しない

ファイル名が不自然でも、プラグインやサーバー機能が生成した正規ファイルの可能性があります。
反対に、正規ファイル名の中へ不正コードが追記されることもあります。

削除前に、絶対パス、容量、更新時刻、所有者、権限、ハッシュ、内容のコピーを保存します。
実行できるPHPはブラウザーから開かず、隔離コピーを文字列として確認してください。

本体・テーマ・プラグインを一括更新しない

更新は脆弱性を塞ぐために重要ですが、異常発見直後の一括更新は、
数百・数千ファイルの時刻や内容を変え、侵害時刻の切り分けを難しくします。

まず証拠を保存し、侵入が続いている可能性を抑えてから、
検証環境または復旧計画に沿って更新します。更新前後の差分を残すことも大切です。

感染時点が分からないバックアップを戻さない

昨日のバックアップが存在しても、侵入が一週間前なら、その中に不正ファイルが含まれます。
バックアップは「新しいか」ではなく、感染前と確認できるかで選びます。

復元で現在のログや受注データを消す危険もあります。
復元前に現状のファイル・DB・ログを保存し、戻す範囲と失われるデータを確認してください。

WordPressセキュリティチェックの異常を証拠として残す方法

証拠保全は難しい鑑識作業だけを意味しません。
まずは、発見時点を他の人が再現できる形で残すことから始めます。

スクリーンショットにはURL・時刻・操作手順を添える

警告画面だけを切り取ると、どのURLで、どの権限で、いつ表示されたか分かりません。
アドレス欄を含む画面、発見時刻、タイムゾーン、そこへ至る操作を一緒に残します。

検索結果の異常は、検索語、検索エンジン、表示端末、シークレットモードの有無も記録します。
外部転送がある場合は、転送先へ個人情報を入力せず、元URLと到達URLだけを保存してください。

ファイルとデータベースは作業前コピーを分けて保管する

WordPress一式とデータベースを、作業前の状態でコピーします。
復旧に使うバックアップと混同しないよう、「調査用・作業前・取得時刻」を明記してください。

ファイルの更新日時は単独では侵入日時の証明になりませんが、ログ照合の基準になります。
可能ならSHA-256などのハッシュを記録し、保存後に内容が変わっていないか確認できるようにします。

保存期間が短いログから先に確保する

共有サーバーのアクセスログやWAFログは、数日から数週間で消えることがあります。
ファイルのダウンロードより先に、保存期間と取得方法をサーバー会社へ確認してください。

WordPressだけでなく、FTP・SFTP、SSH、コントロールパネル、メール、CDN、
DNSの操作履歴も侵入経路の特定に役立ちます。取得できないログも「取得不可」と記録します。

WordPressセキュリティチェックの異常を切り分ける確認順

確認は、公開側から管理側、WordPress内部、サーバー全体へ広げます。
一つの警告だけに集中せず、利用者への影響と攻撃者の権限を先に判断します。

公開画面・検索結果・外部警告を確認する

トップページ、主要な下層ページ、問い合わせ・決済・ログイン画面を、
ログアウト状態とスマートフォンでも確認します。見覚えのない転送や入力欄があれば緊急度は高い状態です。

Google Search Console、ブラウザー警告、サーバー会社の通知も確認します。
ただし、警告メール内のリンクはすぐ開かず、公式管理画面へ直接ログインして真偽を確かめてください。

管理者ユーザー・権限・更新履歴を確認する

見覚えのない管理者、メールアドレス変更、Application Passwords、
不自然なログイン、停止したはずのプラグイン有効化がないか確認します。

未知の管理者を見つけても、証拠を残す前に削除すると作成時刻や関連情報を失います。
まずユーザーID、登録日時、権限、メール、関連ログを保存し、必要ならログインを制限します。

公式配布物・バックアップ・変更申請と比較する

WordPress本体は同じ版の公式配布物、プラグイン・テーマは正規配布元と比較します。
社内の更新申請、制作会社の作業記録、デプロイ履歴も照合し、説明できる差分を除外します。

チェックサム不一致は重要な手掛かりですが、独自変更や更新途中でも発生します。
一件の差分だけで感染確定とせず、コード内容、ログ、周辺変更、公開症状を組み合わせて判断します。

WordPressセキュリティチェックの異常を危険度別に判断する

危険度は、警告の色やスキャン件数だけでは決まりません。
利用者への影響、攻撃者が持つ権限、侵入が続いている可能性で判断します。

すぐ公開制限と専門連絡が必要な状態

偽の決済・ログイン画面、他サイトへの強制転送、マルウェア配布、
個人情報の外部送信が疑われる場合は、通常表示の維持より被害拡大の停止を優先します。

管理者アカウントが奪われた、サーバー権限まで不明、同居サイトにも同じ痕跡がある場合も緊急です。
安全な端末と連絡手段を使い、サーバー会社・保守担当・専門家へ連絡してください。

証拠保存後に範囲調査する状態

スキャンで一件だけ警告された、見覚えのないPHPがある、更新時刻が不自然といった状態は、
直ちに削除せず、同じ版の正規ファイルやログと比較します。

公開被害が見えなくても、バックドアは特定条件でしか動かない場合があります。
「表示が正常だから安全」とは判断せず、ファイル・DB・管理者・Cron・外部通信まで確認します。

誤検知と判断する前に根拠を残す

キャッシュ、バックアップ、画像最適化、セキュリティ機能が独自ファイルを生成し、
スキャンに警告されることがあります。正規機能であることを配布元の仕様と実際の生成条件で確認します。

誤検知とした場合も、警告内容、確認方法、比較対象、判断者、確認日を記録します。
次回同じ警告が出た時、前回と同じか、新しい異常かを短時間で判断できます。

WordPressセキュリティチェックの異常を専門家へ相談する判断基準

専門家へ相談する基準は、知識があるかどうかだけではありません。
判断を誤った時の損失が大きい、または調査材料が時間とともに消えるなら、早めの相談が合理的です。

事業影響がある場合は技術調査と社内判断を並行する

問い合わせ停止、予約・決済停止、顧客情報への影響がある場合、
WordPressの修正だけでなく、顧客対応、法務、広報、取引先連絡の判断も必要です。

技術担当だけで公表や通知を決めず、確認済みの事実と未確認事項を分けて共有します。
推測を断定せず、更新できる時系列を一つ用意すると混乱を減らせます。

侵入経路と再生成元が分からない場合は駆除だけで終えない

不審ファイルを一つ消して表示が戻っても、侵入経路、未知の管理者、Cron、
別サイトのバックドアが残っていれば再発します。

完全復旧には、感染範囲、正規ファイルとの差分、ログ、認証情報、
同居サイト、サーバー設定を横断して確認し、再生成元を止める工程が必要です。

相談先の作業範囲と完了条件を確認する

「スキャンだけ」「警告ファイルだけ削除」「バックアップ復元だけ」では、
原因調査、DB確認、ログ確認、再発監視が含まれないことがあります。

相談前に、調査範囲、復旧範囲、バックアップ、保証、報告内容、
追加料金になる条件を確認してください。何をもって安全とするかを合意することが重要です。

WordPressセキュリティチェックの異常を相談する前にまとめる情報

相談時は、きれいな報告書を作る必要はありません。
時系列・対象・変更内容の三つが分かれば、調査の入口を作れます。

「発見前」と「発見後」の操作を分ける

発見前の更新や制作作業は、正常変更と異常変更を分ける材料です。
発見後の削除、更新、パスワード変更は、証拠やログへ与えた影響を判断する材料になります。

すでに何か操作していても隠す必要はありません。
操作した時刻、担当者、対象、結果を伝えれば、残っている材料から調査順を組み直せます。

認証情報は安全な方法で必要最小限だけ共有する

管理者、サーバー、FTP・SFTP、DBのパスワードを、通常メールや公開チャットへまとめて貼らないでください。
共有方法、有効期間、作業用アカウント、終了後の失効手順を相談先と決めます。

感染が疑われる端末で新しいパスワードを作ると、再び盗まれる可能性があります。
安全な端末を確認し、権限の小さい作業用アカウントから渡す方が安全です。

復旧後に必要な監視と保守も決める

復旧直後だけ正常でも、数時間後や数日後に不審ファイルが戻ることがあります。
24時間後、72時間後、一週間後など、再チェックの時期と確認項目を決めてください。

更新、バックアップ、死活監視、改ざん監視、緊急連絡を日常運用へ組み込むと、
次の異常を早く発見し、初動で迷う時間を減らせます。

WordPressセキュリティチェックの異常でよくある質問

セキュリティプラグインの警告が一件だけなら放置してよいですか？

放置せず、警告内容、対象パス、検出時刻、ファイル属性を保存し、
同じ版の正規ファイルや配布元の仕様と比較してください。一件でも管理者追加や任意コード実行につながる場合があります。
反対に正規ファイルの誤検知もあるため、削除より先に根拠を確認します。

異常を見つけたらすぐサイトを停止すべきですか？

偽の決済・ログイン画面、外部転送、マルウェア配布、情報漏えい疑いがある場合は、
公開制限を優先します。公開影響がなく調査可能な警告だけなら、証拠を残しながら範囲を確認できる場合もあります。
停止による事業影響と被害拡大リスクを比較して決めます。

パスワードは最初に全部変更した方がよいですか？

認証情報が盗まれた可能性が高い場合は変更が必要ですが、
感染が疑われる端末で変更すると再び盗まれるおそれがあります。ログとアカウント情報を保存し、安全な端末を用意して、
サーバー・管理者・DB・外部サービスの順番と影響を決めて実施します。

バックアップを戻して表示が直れば復旧完了ですか？

完了とは言えません。バックアップ自体が感染後の可能性があり、
侵入経路や別のバックドアが残れば再発します。復元後に正規ファイルとの差分、管理者、DB、Cron、同居サイトを確認し、
時間を分けて再発監視してください。

相談前に怪しいファイルを送ってもよいですか？

相手が指定した安全な方法を使い、実行可能ファイルを通常メールへ無造作に添付しないでください。
元ファイルを改変せず、パス・属性・ハッシュ・取得時刻を添え、
暗号化やアクセス制限を含む受け渡し方法を確認します。

WordPressセキュリティチェックの異常は止める・残す・相談する

WordPressのセキュリティチェックで異常を見つけたら、
まず変更を止め、発見時点を残し、影響の大きさに応じて相談します。

焦って警告だけを消すより、調査できる材料を守る方が、
復旧範囲・侵入経路・再発防止を正しく判断しやすくなります。

異常が見つかっていない時から、連絡先、ログ保存、バックアップ、
更新手順を決めておくと、緊急時にも落ち着いて初動へ移れます。

WordPressの異常を早く見つける保守体制を整えたい方へ

異常が起きてから慌てて担当者やバックアップを探すのではなく、
平常時から更新・監視・バックアップ・緊急対応の流れを整えることが重要です。

クイックレスキュー365は、WordPressの保守管理、運用代行、更新、
バックアップ、セキュリティ対策、復旧サポートを継続的に支援します。