WordPressが改ざんされたかもと思ったらまずやること・やってはいけないこと

改ざんは、気づき方がさまざまです。開いた瞬間に知らないサイトへ飛ばされる。検索結果に、身に覚えのない商品名や外国語のページが並ぶ。お客様から「ウイルス対策ソフトに止められた」と言われる。管理画面に知らないユーザーが増えている。サーバー会社からサイトを止めたと連絡が来る。どれか一つでも当てはまれば、改ざんを疑って動き始めて構いません。

焦って消したり入れ直したりすると、原因の手がかりまで消えてしまいます。順番を決めて動くのが結局いちばん早く済みます。

■ まずやること

1. 記録を残す

おかしな画面のスクリーンショット、気づいた日時、最近したこと（プラグインの追加、テーマの変更、パスワードを人に教えた、など）をメモします。WordPressの公式ドキュメントでも、最初の行動として記録を挙げています。自分で対処する場合も、人に頼む場合も、この記録が出発点になります。

2. 作業するパソコンを確かめる

パスワードが盗まれた入口が、サイトではなく手元のパソコンだったということもあります。ウイルス対策ソフトでパソコン全体を検査してから、次の作業に進みます。

3. サーバー会社に連絡する

共用サーバーでは、同じサーバーの他のサイトにも影響が出ていることがあります。サーバー会社がすでに気づいて対応していたり、ログ（アクセスの記録）を出してくれたりすることもあります。

4. 今の状態をまるごと保存する

感染した状態のままでかまいません。掃除の途中で何かを壊したときに、元に戻せる場所になります。

5. パスワードを変える

WordPressの管理者だけでなく、サーバーの管理画面、FTP（ファイルを操作するための接続）、データベースのパスワードも対象です。サイトに入れるすべての人の分を変えます。長く、他で使っていないものにしてください。

■ やってはいけないこと

・目に見えるおかしなファイルだけ消して終わりにする

改ざんでは、あとからまた入り込むための仕掛けが別の場所に置かれていることがあります。見えている部分だけ直すと、数日後に同じ症状が戻ることがあります。

・日付を確かめずにバックアップから戻す

バックアップの時点ですでに改ざんされていることがあります。いつ入られたのかの見当をつけてから、どの日の分に戻すかを決めます。

・管理画面の「再インストール」で済ませる

公式ドキュメントでは、管理画面からの再インストールは既存のファイルを上書きするだけのことが多く、改ざんで新しく追加されたファイルが残りやすい、と注意しています。

・感染したかもしれないパソコンで、新しいパスワードを打ち込む

変えたパスワードがまた盗まれます。

■ 掃除が終わったあと

WordPress本体、プラグイン、テーマを新しい版にし、パスワードをもう一度変えます。最初に変えたパスワードは、掃除の前に盗まれている可能性があるからです。

Googleで警告が出ていた場合は、Search Console（Googleが提供するサイト管理のツール）の「セキュリティの問題」レポートを見て、修正が済んだら「審査をリクエスト」から確認を依頼します。

自分でできるのは、記録、連絡、パスワードの変更までです。ファイルの中身を一つずつ確かめて仕掛けを探す作業は、慣れていないと見落としが出やすいので、そこから先は相談していただくのがよいと思います。

ココナラで「WordPressの改ざん・ウイルスを除去します」というサービスを出しています。気づいたときの状況と画面の写真を送っていただければ、作業の範囲と金額を先にお伝えします。納品後1か月は、同じ不具合を無料で直します。