WordPressが乗っ取られたサイトを、その日のうちに復旧した話

先日、知り合いから「サイトが乗っ取られているかもしれない」と連絡が来ました。ある団体の公式サイト（WordPress）です。朝、「パスワードが勝手に変更されました」という通知メールが届き、管理画面にログインできなくなった——と。実際にサイトを開くと、ページの上のほうに意味不明な文字化けがびっしり。ひと目で「普通じゃない」と分かる状態でした。

この記事は、その復旧を"その日のうちに"終わらせるまでにやったことの記録です。技術的な手順を細かく書くというより、「WordPressが乗っ取られると実際どうなるのか」「どういう順番で対応するのか」を、同じ立場になった方の参考になればと思って残します。

まず確かめたのは「どこまで取られているか」

こういう時、最初に焦って管理画面を叩いても意味がありません。私がまず確認したのは、サーバーやファイルの管理画面にまだ自分で入れるか、でした。幸い、そこはまだ生きていた。つまり「入り口の鍵は変えられたけど、家全体はまだ取り返せる」状態です。ここが分かると、落ち着いて動けます。

サイトを一旦閉じて、被害を止める

乗っ取られたサイトを開いたままにしておくと、改ざんされたページが公開され続けたり、次の攻撃を呼び込んだりします。なので、まずサイトを一時的に「メンテナンス中」にして外から見えないよう遮断。自分だけが中で作業できる状態を作りました。出血を止めてから、じっくり原因を調べる——この順番が大事です。

ログを見れば、"入り口"は分かる

サーバーには、誰がいつどこからアクセスしたかの記録（ログ）が残っています。それを解析すると、犯人がパスワードを機械的に大量に試して突破していたことが分かりました。人が手作業でやっているのではなく、プログラムが自動で世界中のWordPressを狙っている——その一件だった、というわけです。

仕込まれていた"裏口"を見つけて消す

侵入した後、犯人は正規のプラグインを装った不正なプログラムを設置していました。いわゆる"裏口（バックドア）"で、これがあると、パスワードを変えても何度でも入り直されてしまいます。サイトの文字化けの正体も、実はこの不正プログラムでした。中身を解析して特定し、除去。さらに、同じサーバーにある他のサイトまで含めて、他に仕込みが残っていないかを調べ上げました。

表面を直すだけでは、また入られる

ここが一番伝えたいところです。文字化けを消して「直った」と思っても、"入り口"を塞がなければ、また同じことが起きます。なので、サーバー・FTP・データベース・WordPressの全パスワードを作り直し、侵入に使われた経路そのものを遮断。「なぜ入られたか」を突き止めて塞ぐところまでやって、はじめて"復旧"です。結果、発覚からその日のうちに、サイトを安全な状態で公開再開できました。

そこから伝えたいこと

WordPressは世界のサイトの4割以上で使われている反面、世界一狙われやすい仕組みでもあります。しかも標準設定のままだと、ログイン名が外から見えていたり、パスワードを無制限に試せたりと、弱点がいくつも残っています。今回のように「気づいたら乗っ取られていた」は、誰にでも起こりえます。

ただ、正しい順番で対応すれば、ほとんどのケースで元に戻せます。大事なのは、焦って触って悪化させないことと、原因から塞ぐことです。

もし同じことが起きたら

「サイトが真っ白になった」「乗っ取られたかも」「パスワードを勝手に変えられた」——もしそんな状況になったら、無理に自分で触る前に、一度ご相談ください。原因の特定から復旧、再発防止まで対応します。状況確認とお見積りは無料です。