WordPressのウイルス感染を疑ったら、削除前に残したい7つの情報

WordPressで知らないページへ転送される、検索結果に不審な文章が出る、見覚えのない管理者がいる——このような症状を見つけると、怪しいファイルをすぐ削除したくなります。

しかし、原因や感染範囲が分からないまま変更を重ねると、「何が変わっていたのか」「どこまで戻せばよいのか」が分かりにくくなります。WordPress公式ドキュメントでも、侵害後の最初の実務的な行動として、症状と時刻、直前の変更などを記録することが案内されています。

この記事では、削除や上書きより先に残したい7つの情報と、安全な初動の順序をまとめます。緊急時に見返せるよう、保存用チェックリストとしてお使いください。

【まず覚えておきたい順序】

基本は「記録 → 保全 → 公開制限 → 調査 → 復旧 → 確認」です。

ここでいう保全は、感染した状態をそのまま公開し続けることではありません。後から比較・調査できる材料を別の安全な場所へ残したうえで、必要に応じてホスティング会社へ連絡し、公開範囲やアクセスを制限します。

【1. 最初に気づいた症状と時刻】

最初に、「何を見て感染を疑ったか」を具体的に記録します。

・別サイトへ勝手に転送された

・サイトや検索結果のタイトル、説明文が書き換わった

・見覚えのないページ、投稿、管理者が増えた

・サーバー会社や検索サービスから警告が届いた

・管理画面へ入れない、または権限が変わった

スクリーンショットだけでなく、発見日時とタイムゾーン、症状が出た端末・ブラウザも添えます。全員に毎回出るのか、特定の端末や検索経由だけなのかも、切り分けの材料になります。

【2. 症状が出たURLと転送先】

トップページだけでなく、症状が出た正確なURLを残します。不正転送がある場合は、転送先のURLも文字で控えます。ただし、危険なページへ何度もアクセスしたり、リンク先でファイルを開いたりしないでください。

検索結果からだけ不審なページが見える場合は、検索語と表示されたタイトルも記録します。URL単位の情報があると、サイト全体の問題か、一部ページ・テンプレート・検索経由の問題かを考えやすくなります。

【3. 届いた警告や通知の原文】

サーバー会社、セキュリティ機能、検索サービスから通知が届いた場合は、日時、件名、警告文、対象URLを保存します。

相談時に共有するコピーでは、契約者情報、メールアドレス、IPアドレスなど不要な個人情報は伏せます。一方で、検出名や対象ファイルの場所まで消すと判断材料が減るため、何を伏せるかを分けて考えます。

【4. 直前に行った変更】

感染とは別の不具合を、感染と見間違えることもあります。発見前に行った変更を、分かる範囲で時系列にします。

・WordPress本体、テーマ、プラグインの更新

・新しいプラグインや計測タグの追加

・管理者、制作会社、運用担当者の変更

・サーバー、DNS、SSL、CDNの設定変更

・FTPやファイルマネージャーでの編集

「何もしていない」場合も、そのまま記録します。更新履歴と症状の発生時刻が近いからといって、直ちに原因とは断定しません。

【5. サイトとサーバーの構成】

復旧対象を1サイトだけだと思い込まないことが大切です。次の範囲を一覧にします。

・レンタルサーバー名と契約プラン

・同じ契約内のWordPressサイト数

・サブドメイン、テスト環境、古い設置先

・利用中のテーマと主要プラグイン

・CDN、WAF、外部バックアップの有無

共有サーバーや同一アカウント内に複数サイトがある場合、影響範囲が一つとは限りません。ホスティング会社にも、同じ契約領域への影響や利用可能なログ・バックアップを確認します。

【6. 現時点のファイル・データベース・ログ】

削除や復元を始める前に、可能なら現時点のファイルとデータベースを一組で保存し、取得日時を記録します。感染の可能性があるコピーは「正常なバックアップ」と混ぜず、隔離した参照用として扱います。

さらに、取得できる範囲で次を保全します。

・Webアクセスログ、エラーログ

・セキュリティ機能の検出履歴

・ファイルの更新日時

・管理者やログイン履歴

WordPress公式の案内でも、駆除前に感染状態のスナップショットを残すことが勧められています。感染後のコピーは復元元にするためではなく、比較と調査の手掛かりとして区別して保管します。

【7. 関係するアカウントとアクセス経路】

実際のパスワードを書き出すのではなく、どのアカウントが関係するかを一覧にします。

・WordPress管理者

・レンタルサーバー

・FTP／SFTP、SSH

・ドメイン、DNS、CDN

・データベース

・バックアップ、メール、検索関連サービス

見覚えのない管理者やログイン中のユーザーがあれば記録します。調査・封じ込めでは認証情報の変更が必要になることがありますが、PC自体に不審なソフトがある状態で変更すると再流出する可能性もあります。利用端末の安全確認と、復旧後の再変更まで含めて計画します。

【削除前に避けたい4つのこと】

1. 不審に見えるファイルを片端から削除する

2. 記録せずにプラグイン更新や再インストールを繰り返す

3. 感染時点のコピーを正常なバックアップへ上書きする

4. 一つの症状が消えただけで復旧完了と判断する

不正ファイルを一つ消しても、侵入経路、別の設置場所、不審な管理者、定期実行処理が残れば再発することがあります。逆に、正規ファイルを誤って消すとサイト停止やデータ欠損につながります。

【相談前の保存用チェックリスト】

・症状、発見日時、タイムゾーン

・対象URL、転送先、検索語

・警告や通知の原文

・直前の変更履歴

・サーバー内のサイト構成

・ファイル、データベース、ログの保存状況

・関係するアカウントの種類

・既存バックアップの取得日時と保存場所

認証情報そのものは、この一覧や公開メッセージに書かないでください。まず状況と保全状態を伝え、必要なアクセス方法は対応者と範囲を合意してから、安全な方法で扱います。

【まとめ】

WordPressのウイルス感染を疑ったときは、最初に「消す」より「残す」を優先します。

まず症状・時刻・URLを記録し、現時点のファイル・データベース・ログを正常なバックアップと分けて保全します。そのうえで、必要な公開制限、感染範囲の調査、復旧、認証情報の見直し、主要ページやフォームの確認へ進みます。

自分で感染範囲や復旧方針を整理するのが難しい場合は、この記事に掲載しているWordPressウイルス感染復旧サービスから、購入前にご相談いただけます。関連サービスが受付休止・非公開の場合や、どのサービスが合うか分からない場合は、私のプロフィールにある「見積り相談」から現在の状況をお知らせください。