【事例】WordPressハッキングから復旧したのに再発？一度の復旧で終わらせるために大切なこと

こんにちは！WordPressの番人です^^

WordPressがハッキングされ、身に覚えのないファイルが大量に作られていたら、どうしますか？

「怪しいファイルを削除して、サイトが正常に表示されればひと安心」

そう思うかもしれません。

ところが、一度削除したはずの不審なファイルやフォルダが、数日後に再び現れることがあるのです。

実際に、別の業者に復旧を依頼して一度はサイトが表示されるようになったものの、再び改ざん被害が発生し、WordPressの番人にご相談いただいたお客様がいらっしゃいました。

その後、当サービスでWordPressサイトを再構築し、無事に復旧。その後も、把握している範囲では同様の改ざん被害は再発していません。

なぜ、一度復旧したはずのWordPressが再び改ざんされてしまったのでしょうか？

実は、Webサイトが正常に表示されることと、ハッキングの原因が取り除かれていることは別問題なのです。

今回は、この実際の事例をもとに、再改ざんが起こる原因と、WordPressの番人で行った対応、復旧時に確認しておきたいポイントをご紹介します。

1. 別の業者に復旧を依頼したのに、数日後に再び改ざん被害

以前、あるお客様からWordPressのハッキング被害についてご相談をいただきました。

お話を伺うと、最初にWordPressサイトが突然表示されなくなり、サーバー内には身に覚えのないファイルやフォルダが多数作られていたそうです。

そこで、別の業者に復旧を依頼されました。

不審なファイルやフォルダを削除し、一度はWebサイトが正常に表示される状態に戻ったとのこと。

ところが、数日後。

またしてもWebサイトが表示されなくなってしまったのです。

サーバー内では、削除したはずのフォルダが再び現れ、新たな不審ファイルも多数作成されていました。

さらに、Webサイトの表示に必要なファイルの一部も改ざんされている状態でした。

「一度復旧してもらったのに、また同じような被害が起きてしまった……」

そんな状況で困り、WordPressの番人にご相談いただいたのです。

なお、今回の再改ざんについて、最初に対応した業者の作業が原因だったと確認できたわけではありません。

では、なぜこのようなことが起こるのでしょうか？

2. 不正ファイルを削除しても、再び現れる原因とは？

WordPressがハッキングされた場合、攻撃者はWebサイトを改ざんするだけでなく、サーバー内に不正なプログラムを設置することがあります。

その代表例が「バックドア」です。

バックドアとは？

バックドアとは、攻撃者が不正にシステムを操作するために仕掛ける「裏口」のことです。

例えば、サーバー内に不正なPHPプログラムが設置されていたとします。

そのプログラムが残っていれば、目に見える不審なファイルを削除しても、攻撃者が再びファイルを作成したり、改ざんしたりできる可能性があります。

また、バックドアが残っていなくても、最初の侵入を許した脆弱性や漏洩した認証情報がそのままであれば、再び侵入される可能性があります。

再改ざんの原因としては、次のようなものが考えられます。

- サーバー内にバックドアなどの不正プログラムが残っている

- WordPress本体やプラグインなどの脆弱性が解消されていない

- WordPressやサーバーの認証情報が漏洩している

- 同じサーバー内の別サイトが侵害されている

今回の事例では、再改ざんに至った具体的な経路までは特定できていません。

ただし、ハッキング被害への対応では、侵入経路を一つに特定することだけでなく、不正プログラムの残存や脆弱性、認証情報など、考えられるリスクを幅広く確認して対処することが重要です。

3. WordPressの正規ファイルにも不正コードが仕込まれる？

ハッキング被害の調査が難しい理由の一つに、不正なプログラムを見つけにくいことがあります。

「身に覚えのないファイルを探して削除すればいいのでは？」

そう思うかもしれません。

しかし、それだけでは不十分な場合があります。

なぜなら、攻撃者は新しい不正ファイルを作成するだけでなく、WordPressの正規ファイルに不正なコードを書き加えることもあるからです。

例えば、`index.php` や `wp-config.php`、テーマやプラグインのPHPファイルなどが改ざんされるケースです。

ファイル名も保存場所も正常に見えるため、ファイル一覧を眺めただけでは、不正な変更に気づけないことがあります。

さらに、不正なコードが分かりにくい形に加工されている場合もあります。

そのため、ハッキングの調査では、必要に応じてWordPressの正規ファイルとの比較や、不審なコードの確認などを行います。

ただし、セキュリティスキャンだけですべての不正プログラムを発見できるとは限りません。

「見覚えのないファイルがなくなったから、もう安全」と判断するのは危険なのです。

4. レンタルサーバー会社から「全データ削除・再構築」を推奨された

今回の事例では、お客様が利用していたレンタルサーバー会社にも問い合わせが行われました。

その回答では、不正ファイルの設置や改ざんが確認された場合、サーバー内の対象領域にある全データを削除し、最初から再構築することが強く推奨されていました。

理由として挙げられていたのは、改ざんされたプログラムにはバックドアが仕掛けられる例が多いということです。

また、事前に取得したバックアップについても、不正なプログラムが含まれている可能性を考慮し、再利用せずに再構築するよう案内されていました。

これは、今回のサイトにバックドアが存在したと断定する回答ではありません。

しかし、目に見える不審なファイルを削除するだけでは、安全性を確認するのが難しい場合があることを示しています。

5. WordPressの番人では、サーバー内のデータを削除して再構築

今回、WordPressの番人では、レンタルサーバー会社からの案内を踏まえ、サーバー内の対象領域にあった既存データを削除し、WordPressサイトを再構築する対応を行いました。

不審なファイルを一つずつ削除するだけでは、別の場所に不正なプログラムが残ってしまう可能性があります。

そのため、今回は部分的なファイル削除ではなく、サイト全体を再構築する方針を取りました。

さらに、サイトを復旧するだけでなく、セキュリティ対策についても点検し、再発リスクを減らすための対策を強化しました。

その結果、Webサイトは無事に復旧し、その後も、把握している範囲では同様の改ざん被害は再発していません。

もちろん、すべてのハッキング被害で全面的な再構築が必要になるわけではありません。

また、再構築する場合も、既存のバックアップを利用できるかどうかは、その安全性や被害状況によって判断する必要があります。

WordPressサイトには、これまで積み重ねてきた記事や画像、各種設定、データベースなど、大切な情報が保存されています。

専門知識のないままサーバー内のデータを削除すると、これらの情報まで失ってしまうおそれがあります。

一方で、改ざんされたファイルやデータを不用意に復元すれば、不正なプログラムを再び持ち込んでしまう可能性もあります。

だからこそ、必要なデータを守ることと、不正なプログラムを持ち込まないことの両方を考えながら復旧する必要があるのです。

大切なのは、単にWebサイトを再表示させることではなく、再発リスクをできる限り減らすことです。

6. ハッキング被害から復旧するときに確認したい5つのポイント

WordPressがハッキングされた場合、次の5つのポイントを意識することが大切です。

① 被害の拡大を防ぎ、調査に必要な情報を残す

状況に応じてWebサイトへのアクセスを制限するなど、被害の拡大を防ぐ対応を検討します。

また、原因調査に必要なファイルやアクセスログなどは、可能な範囲で保全しておきましょう。

むやみにファイルを削除すると、調査に必要な情報まで失われる場合があります。

② 不審なファイルだけでなく、正規ファイルの改ざんも確認する

新しく作られた不正ファイルだけでなく、WordPress本体やテーマ、プラグインのファイルにも改ざんがないか確認することが重要です。

必要に応じて、信頼できる正規ファイルと比較し、不正な変更がないか調べます。

③ 侵入の原因となり得る問題に対処する

WordPress本体やプラグインの脆弱性、不要な管理者アカウント、認証情報の漏洩など、考えられるリスクを確認します。

また、同じレンタルサーバー契約内に複数のWordPressがある場合は、ほかのサイトにも問題がないか確認が必要になることがあります。

④ 必要に応じて、安全な環境で再構築する

被害の状況によっては、不正ファイルを個別に削除するのではなく、WordPressを再構築する方が適切な場合もあります。

その際は、信頼できる配布元からWordPress本体やテーマ、プラグインを用意し、必要なデータも安全性を確認したうえで移行することが大切です。

⑤ 復旧後も継続して保守管理する

一度ハッキングから復旧できても、その後の安全性が永久に保証されるわけではありません。

WordPress本体やプラグインの更新、バックアップ、セキュリティ対策を継続することが重要です。

また、復旧後もしばらくは不審なファイルの変更やアクセスなどに注意し、再発の兆候がないか確認しましょう。

7. 復旧を依頼するなら「料金」だけでなく「対応範囲」も確認しよう

WordPressのハッキング復旧を依頼する際は、金額だけでなく、どこまで対応してもらえるのかを確認することが重要です。

例えば、不審なファイルの削除だけなのか、正規ファイルの改ざん確認や侵入原因となり得る問題の調査、必要に応じた再構築まで対応するのか。

同じ「ハッキング復旧」というサービスでも、作業内容や対応範囲は異なります。

また、再構築が必要になった場合、大切な記事や画像、データベースなどをどのように扱うのかも確認しておくと安心です。

大切なのは、Webサイトを表示できる状態に戻すだけでなく、再び被害が発生するリスクをできる限り減らすことです。

8. ハッキング復旧は「サイトが表示されれば完了」ではない

今回の事例から学べる最も重要な教訓は、Webサイトが正常に表示されることと、ハッキングの原因が取り除かれていることは別だということです。

不審なファイルを削除して一時的に復旧できても、不正なプログラムが残っていたり、侵入の原因となる問題が解消されていなかったりすれば、再び被害を受ける可能性があります。

今回のお客様も、一度は復旧したものの、数日後に再び改ざん被害が発生してしまいました。

その後、WordPressの番人でサイト全体を再構築し、運営を再開することができました。

もちろん、今後のハッキング被害を完全にゼロにすることは保証できません。

だからこそ、目に見える問題だけでなく、再発のリスクも考慮した復旧と、その後の継続的なセキュリティ対策が重要なのです。

WordPressの番人では、WordPressの保守管理やハッキングなどのトラブル対応について、ご相談を承っています。

「別の業者に復旧してもらったのに、また改ざんされてしまった」

「不審なファイルを削除したけれど、本当に安全なのか分からない」

「大切なWebサイトを安心して運営できるよう、専門家に相談したい」

そんな方は、お気軽にご相談ください。