「サイトがおかしい」から復旧完了まで｜マルウェア被害の現場対応レポート

■ある日突然、サイトがおかしくなった

先日、美容室を経営されているクライアント様から「サイトの様子がおかしい」というご相談をいただきました。

調べてみると、事態は想像以上に深刻でした。運営中のホームページだけでなく、同じサーバー上にあった複数のWordPressサイトが連鎖的に被害を受けていたのです。

この記事では、実際にどんな被害が起きていて、どう調査し、どう復旧させたのかを、専門知識がない方にもわかる範囲でまとめました。

「うちのサイトも大丈夫だろうか」と不安に思っている方の参考になれば幸いです。

■何が起きていたのか

結論からお伝えするとマルウエア感染でした。

調査を進めると、被害の発端は少し意外なところにありました。

数年前に運用をやめていた「もう使っていないはず（削除済み）の旧サイト」が、サーバー上にファイルとして残ったままになっていたのです。当時は二段階認証などのセキュリティ対策が導入されておらず、そこが最初の突破口になりました。

攻撃者はまずこの旧サイトの管理画面に不正ログインし、正規のプラグインになりすました偽物のプログラムを仕込みました。そこを足がかりに、同じサーバー契約の中にある他のサイトへと感染を広げていったのです。

つまり「使っていないから放置していたサイト」が、現役で運用中のサイトを危険にさらす原因になっていました。これは今回に限らず、非常によくあるパターンです。

■調査でわかったこと

表面的にファイルを見ただけでは、被害の全容はわかりません。今回は、データベースの中身まで一つひとつ手作業で確認する調査を行いました。

データベースの中身は暗号化に近い形式で保存されているため、単純な検索では不正なコードを見つけることができません。そこで、データを一度読み解ける状態に変換したうえで、不審なコードが紛れ込んでいないかを精査するという、通常よりも踏み込んだ調査を実施しました。

その結果、サイトの奥深く（画像アップロード用のフォルダの中）に、外部から遠隔操作するための不正プログラムが隠されているのを発見しました。

見た目にはただの画像フォルダにしか見えない場所です。この不正プログラムは削除し、悪用の痕跡がないかも合わせて確認しています。

■復旧作業の流れ

安全に復旧するため、今回は次のような方針で作業を進めました。

サイトを一度まっさらな状態に戻す

中途半端にファイルだけを削除しても、不正なコードが残っている可能性があります。そのため、サイトの土台となる部分は一度すべて削除し、WordPress公式の配布元から新しくクリーンな状態を作り直しました。

拡張機能（プラグイン）はすべて新規に取得

「バックアップに入っていたものをそのまま戻す」という方法は取りませんでした。バックアップデータ自体に不正なコードが紛れ込んでいる可能性があったためです。手間はかかりますが、すべて公式配布元から個別に取得し直しました。

検出された警告を一つひとつ精査

セキュリティソフトの検査では80件以上の警告が出ましたが、これらをすべて中身まで確認したところ、実際には正規のセキュリティ対策として意図的に設定されていたものが大半でした。

「警告が出た＝即削除」ではなく、一件ずつ内容を見極めることを重視しています。

■再発防止のために行ったこと

復旧作業と合わせて、次のような再発防止策も実施しました。

・ログイン時の二段階認証を導入

・不審なログイン試行をブロックするセキュリティプラグインを導入

・過去に作業用として作られたまま放置されていた管理者アカウントを削除

・検索エンジン（Google Search Console）側の設定不備を修正

これらは特別な対策ではなく、多くのサイトで見落とされがちな基本項目です。今回のように「昔作って忘れていたサイトやアカウント」が思わぬリスクになっているケースは少なくありません。

■サイト運営者の方へ：今すぐできるチェックポイント

・過去に使っていたが、今は更新していないサイトやサブドメインが残っていないか

・管理画面のログインに二段階認証を設定しているか

・使っていない管理者アカウントが残っていないか

・プラグインやWordPress本体が古いバージョンのまま放置されていないか

一つでも心当たりがある方は、被害が起きる前に一度点検しておくことをおすすめします。

■まとめ

今回のケースは、複数サイトが同時に被害を受けるという難しい状況でしたが、サイトを止める期間を最小限にしながら、データベースの中身まで踏み込んだ調査を行うことで、安全な状態まで復旧することができました。

今回のような「削除済みだと思っているけどデータファイルは残っている」という状況は少なからずあると思いますので思い当たる方は今一度確認しておいた方が良いかもしれません。

この事例が参考になれば幸いです。