WordPressが乗っ取られたかどうかを自分で確かめる方法

乗っ取られたWordPressに出る兆候

いちばん分かりやすいのは、管理画面のユーザー一覧に知らない管理者がいることです。名前がアルファベットの羅列だったり、登録日がここ数週間だったりします。次に多いのが、入れた覚えのないプラグインです。SEO、キャッシュ、セキュリティを名乗る名前で、ふつうのプラグインの顔をして並んでいます。9月に姉妹会社が対応した件では「my-seo」という名前で、中身は遠隔操作用の裏口でした。

外から気づく兆候もあります。自分のサイト名で検索したら、日本語でない題名やカジノ、ブランド品の安売りのような説明文が並んでいる。ページのどこかに「Hacked by」の文字が出ている。フッターや記事の末尾に、小さな文字で見覚えのないリンクが足されている。ホスティング会社から「メールの送信数が上限を超えました」という通知が来る。お客さんから「おたくのメールが迷惑メールに入る」と言われる。どれもサイトが誰かの道具にされているときの症状です。

確かめる順番

ログインできるなら、ユーザー → すべてのユーザーを開いて、権限で「管理者」に絞ってください。人数と名前を、社内で把握している人数と比べます。そのあとプラグイン → インストール済みプラグインで、有効になっているものを上から全部読みます。名前に心当たりがないものがあったら、その場では消さずに名前を控えておきます。

次に検索エンジンからの見え方です。Googleで「site:自分のドメイン」と検索して、出てくる題名と説明文をながめてください。Search Consoleを使っているなら「セキュリティの問題」の画面も開きます。ここに何か出ていれば、Google側はもう気づいています。

ファイルを触れる方は、ホスティングのファイルマネージャーかFTPで、wp-config.phpとindex.phpの更新日を見てください。自分で触っていないのに最近の日付になっていたら、書き換えられています。wp-content/uploadsの中に.phpのファイルがあるのも、本来ないはずのものです。

最後に外からです。この無料診断は、改ざんの跡、公式の一覧にないプラグイン、検索エンジンにだけ別の中身を見せる細工を、公開ページを読むだけで確かめます。ログインできなくなっているときでも使えます。

兆候がひとつもなくても、入られていることはあります

裏口は静かに置かれます。管理者を足さず、目に見えるプラグインも足さず、テーマのファイルの中に数行だけ紛れ込ませる手口もあります。上の手順で何も出なかったとしても「今日見た範囲では見つからなかった」というところまでです。確実に知るには、ホスティングのアクセスログとFTPのログを読む必要があって、そこは人に頼む領域になります。

見つけたら何をするか

掃除より先に、ログを保存してパスワードを全部変えてください。ホスティングのコントロールパネルからアクセスログ、FTPのログ、エラーログをダウンロードして手元に置きます。ログには保存期間があって、過ぎると消えます。そのあとFTP、SSH、WordPressの管理者、コントロールパネルのパスワードを変えて、発行していたアプリケーションパスワードも取り消します。

知らないプラグインや知らない管理者は、消す前にログを取っておいてください。消すと証拠も一緒に消えて、どこから入られたかが追えなくなります。同じサーバーにほかのサイトが載っているなら、それも書き出しておきます。共用のサーバーはひとつ破られると全部やられます。詳しい順番は「乗っ取られたかもしれない、と思ったら」に書きました。

この診断でできること

無料診断は、改ざんの跡、公式の一覧にないプラグイン、検索エンジン向けの別の中身を外から確かめます。中まで点検に進むと、管理者の人数と入っているプラグインの全部を、赤黄緑の判定まで無料で見られます。すでに兆候が出ているサイトには3,000円の「今すぐ改善する」は向きません。掃除より先に調べるところからになるので、報告書の「人に直してもらう」から相談してください。