自社のWebサイトを開いたら見覚えのない英語のページが表示されていた。あるいは、Googleで会社名を検索したら、検索結果のタイトルや説明文に「Hacked by CoupDeGrace」といった文字列が出ていた。
このページにたどり着いた方は、おそらくその状況にあると思います。
結論から言うと、サイトが第三者に侵入され、ファイルを書き換えられています。 表示が崩れているだけ、一時的な不具合、といった性質のものではありません。
この記事では、いま何が起きているのか、最初に何をすべきか、そしてやってはいけないことを整理します。
慌てて操作して状況を悪化させてしまうケースが非常に多いため、まず落ち着いて読んでみてください。
いま何が起きているのか
サイト改ざん（デファイスメント）と呼ばれる状態です。攻撃者がサーバー上のファイルを書き換え、自分たちの署名を残していきます。
重要なのは、表示が書き換わっていること自体は被害の一部でしかないという点です。
攻撃者はファイルを書き換えられる状態にある、つまりサーバーの中に入れる状態になっています。多くの場合、次のような仕掛けが同時に置かれています。
- バックドア — 再侵入するための隠しファイル。見た目は普通のPHPファイルで、画像フォルダや正規プラグインの中に紛れ込ませてあることが多い
- フィッシングページ — 銀行や通販サイトを装った偽ページ。あなたのドメインの下に、あなたの知らないURLで設置される
- スパム送信の踏み台 — サーバーから大量の迷惑メールが送信され、ドメイン全体がブラックリストに載る
- SEOスパム — 検索エンジンにだけ別の内容を見せ、無関係なサイトへ誘導する
つまり、見えている改ざんページを消しても、問題は終わりません。
放置するとどうなるか
- Googleに「このサイトは危険です」と判定され、警告画面が挟まる。ここまで来ると、解除しても検索順位の回復には時間がかかります
- 自社ドメインからのメールが届かなくなる（スパム送信の踏み台にされた結果）
- 顧客の個人情報が保存されているサイトの場合、漏えいの可能性が生じる
- フィッシングの加害インフラとして使われ、第三者に実害が出る
とくに最後の点は見落とされがちですが、被害者であると同時に、意図せず加害側の設備になってしまう状態です。時間が経つほど深刻になります。
最初にやること
順番に意味があります。
- サイトを止める
- パスワードを変える
- 証拠を残す
- サーバー会社に連絡する
対処は上から進めてください。手順を解説します。
1. サイトを止める
いちばん先です。復旧より前に、まず被害の拡大を止めます。
契約しているレンタルサーバーの管理画面から、公開を停止するか、メンテナンス表示に切り替えます。
方法がわからなければ、サーバー会社のサポートに電話して「サイトが改ざんされたので一旦停止したい」と伝えれば対応してもらえます。
多くのレンタルサーバーは、この種の連絡に慣れています。
「営業に影響が出るから止めたくない」と考えたくなりますが、フィッシングページを動かしたまま放置するほうがはるかに損害が大きくなります。
2. パスワードを変える
侵入経路がわからない段階では、関係しうるものをすべて変更します。
- サーバーの管理画面のパスワード
- FTP／SFTPアカウント
- WordPressの全管理者アカウント
- データベースのパスワード
- ドメイン管理会社のアカウント
変更作業は、改ざんされたサイトを触っていないPCから行ってください。
手元のPCがマルウェアに感染していて、そこから認証情報が抜かれているケースもあります。
3. 証拠を残す
復旧作業を始めると原因調査に必要な情報が消えるため、先に次のような証拠を確保します。
- サーバーのアクセスログ・エラーログ（ダウンロードして手元に保存）
- 改ざんされたページのスクリーンショット
- 異常に気づいた日時のメモ
侵入経路が特定できないと、直しても同じ手口でまた入られます。ログは後から取り直せません。
4. サーバー会社に連絡する
共用サーバーの場合、同じサーバー内の他のサイトに影響が及んでいる可能性があります。
また、サーバー会社側でしか確認できないログを持っていることも多いです。
（個人情報が関わる場合）報告義務を確認する
問い合わせフォームの送信内容、会員情報、ECの購入履歴などをサイトやサーバー内に保存していた場合、個人データの漏えいが疑われる事態として、個人情報保護委員会への報告および本人への通知が必要になる場合があります。
判断に迷う場合は、自己判断せず、顧問弁護士や個人情報保護委員会の相談窓口に確認してください。
「たぶん漏れていないと思う」で処理してしまうのが一番危険です。
やってはいけないこと
ここが重要です。よかれと思ってやった対応が、状況を悪化させることがあります。
NG①. 改ざんされたファイルだけ消して終わりにすること
もっとも多い失敗です。目に見えるページを消すと解決したように見えますが、バックドアが残っていれば数日で元通りになります。「直したのにまたやられた」の大半がこれです。
NG②. バックアップから戻して終わりにすること
有効な手ですが、そのバックアップが侵入後のものであれば、バックドアごと復元することになります。
いつ侵入されたかを特定してから、それより前の世代を選ぶ必要があります。侵入時期が不明なまま最新のバックアップを戻すのは、かなり分の悪い賭けです。
また、バックアップを戻しても、侵入に使われた脆弱性はそのまま残ります。塞がなければ同じ入口から入られます。
NG③. WordPressを入れ直せば大丈夫だと考えること
WordPress本体を再インストールしても、置き換わるのは本体のファイルだけです。テーマ、プラグイン、アップロードフォルダ、データベースには手が入りません。バックドアはむしろそちら側に置かれます。
NG④. 攻撃者名で検索して出てきた業者にすぐ連絡すること
改ざん文字列で検索すると、被害サイトの一覧を掲載しているサイトや、海外のサービスが多数出てきます。中には、被害情報を集めて営業に使っている事業者や、そもそも攻撃側と関係がある可能性のあるものも混ざります。
心当たりのない相手から突然「あなたのサイトが乗っ取られています」と電話やメールが来た場合も、同様に警戒してください。
まずはサーバー会社という、契約関係のあるはっきりした相手に相談するのが安全です。
NG⑤. 何もせず様子を見ること
改ざんは自然に直りません。
時間の経過とともにGoogleの警告が増え、ドメイン評価が毀損し、二次被害と回復コストが積み上がります。
復旧の全体像
実際の作業はおおむね次の流れになります。
- サイト停止・隔離 — 被害拡大を止める
- 全ファイルの保全 — 現状をまるごと取得して手元に保管（調査用）
- 侵入経路の特定 — ログ解析。古いプラグインの脆弱性、パスワードの使い回し、他サイトからの横展開など
- クリーンな環境の再構築 — 汚染されたファイルを掃除するのではなく、検証済みの本体・テーマ・プラグインを新しく用意し、コンテンツだけを検査したうえで移す
- データベースの点検 — 不審な管理者ユーザー、投稿に埋め込まれたスクリプトの除去
- 脆弱性を塞ぐ — 特定した入口を確実に閉じる
- 公開再開と監視 — 再発がないか一定期間見張る
- Google Search Consoleでの審査リクエスト — 警告が出ていた場合の解除申請
3の侵入経路特定を飛ばすと、7で必ず戻ってきます。侵入経路の特定は、復旧作業のいちばん重要な工程です。
再発を防ぐために
復旧後、最低限これだけは整えてください。
- WordPress本体・テーマ・プラグインを常に最新に保つ — 改ざんの入り口として最も多いのが、放置された古いプラグインの既知の脆弱性です
- 使っていないプラグイン・テーマは停止ではなく削除する — 停止中でもファイルはサーバーに残り、攻撃対象になります
- 管理画面へのアクセス制限と二要素認証
- 定期的なバックアップと、その復元テスト — 取れているつもりで壊れているケースが本当に多いです
- 改ざん・マルウェアの定期スキャン
「一度直したから大丈夫」ではなく、更新され続ける状態を維持することが対策そのものです。
さいごに
サイトの改ざんは、油断していたから起きるとは限りません。
- 担当者が退職して更新が止まっていた
- 制作会社との契約が終わっていた
- そもそも保守の話が誰からも出ていなかった
実際の原因は、そうした運用上の空白であることがほとんどです。
いま起きてしまっていることは、正しい手順を踏めば直せます。
まずはサイトを停止し、パスワードを変えて、ログを保全してください。そこから先の対処で迷ったら、弊社にご相談ください。