すべてのカテゴリ

本稿は、サイト訪問者に「人間確認」や「検証」を装って不正操作を誘う偽Cloudflare認証への対処を解説します。対象は、WordPressを自社運用または外部委託で管理する担当者です。読了後は、検知と切り分け、復旧までを同日に終えるための具体手順を持ち帰れます。■ 現状の課題偽Cloudflare認証は、正規画面の見た目を模倣し、訪問者に手作業で有害操作をさせる手口です。Cloudflare＝CDNやWAFを提供する正規サービス、偽認証＝それらを模した偽画面での誘導を指します。最近はクリックやキーボード操作、許可ボタンの押下など、人の動作を悪用する設計が主流です。■ 解決の方向性三段階で短縮します。検知＝本物か偽物かを瞬時に見分ける、切り分け＝注入経路を絞る、復旧＝安全状態へ戻す。本物のCloudflareはダウンロードや拡張機能の導入を要求せず、許可通知の強要もしません。運用では、改ざん箇所の特定を「テーマ・プラグイン・データベース・配信タグ」の順で機械的に行います。■ 具体的な方法・再現テストを行い、本物かを判別する。自ドメイン上で自動検査表示のみは正規、外部ドメイン誘導や手動操作要求は偽。・管理画面にログインし、未知のユーザーや権限昇格の痕跡を確認する。直近のログイン履歴と照合する。・テーマとプラグインを全件差分確認する。functions.phpやheader.php、wp-config.phpへの追記に着目する。・データベースのwp_optionsやウィジェット、投稿本文に外部スクリプトが混入していないか検索する。・タグマネージャ等の配信タグを監査し、見覚えのないI