WordPressのマルウェア駆除で確認すべき手順と再発防止

「サイトを開くと見覚えのない広告へ飛ぶ」「検索結果に不審なページが表示される」「取引先から、ホームページに警告が出ると連絡があった」。こうした場面で必要なのが、落ち着いたWordPressのマルウェア駆除です。ただし、表示がおかしいファイルを一つ消せば解決するとは限りません。感染経路が残れば再発し、復旧作業そのものが証拠や正常なデータを失わせることもあります。

中小企業のホームページは、単なる会社案内ではありません。見込み客が問い合わせ前に確認し、既存顧客や採用候補者も見る、会社の信用を支えるWeb資産です。だからこそ、感染時は慌てて「直す」だけでなく、被害範囲を確かめ、原因を閉じ、今後も運用できる状態へ整える必要があります。

WordPressのマルウェア感染で起こること

マルウェアとは、サイトや閲覧者、サーバーに不正な動作をさせるプログラムの総称です。WordPressでは、古いプラグインやテーマの脆弱性、漏えいした管理者パスワード、不適切な権限設定などを入口に侵入されるケースがあります。

症状は、改ざんされたトップページのように分かりやすいものだけではありません。検索エンジンの利用者だけを別サイトへ転送する、存在しない商品ページを大量生成する、管理者アカウントを追加する、迷惑メール送信の踏み台にする、といった見えにくい動きもあります。管理画面を見ても普通に見えるため、「問い合わせが減った」「検索からの流入が急に落ちた」ことをきっかけに気付く場合もあります。

ここで注意したいのは、感染による損失が復旧費用だけにとどまらないことです。顧客が警告画面を見れば会社への印象に影響します。検索結果から除外されたり、広告のリンク先として使えなくなったりすれば、営業活動にも支障が出ます。ECサイトであれば、受注や顧客情報の取り扱いまで確認範囲が広がります。

WordPressのマルウェア駆除の前に、先に止めること

感染の疑いがあるとき、最初にすべきことは原因を推測してファイルを削除することではありません。被害を広げず、復旧判断に必要な情報を残すことです。

まず、サイトの現状を記録します。不審な画面、検索結果、警告文、アクセスログの状況、気付いた日時を画面保存しておくと、後から被害範囲を調べやすくなります。サーバー会社から届いた警告メールも保管してください。すでに改ざんされている状態でも、バックアップを取得する意義はあります。正常なデータだけでなく、侵入経路の手掛かりが残っているためです。

次に、必要に応じてサイトを一時的に公開停止します。閲覧者を不正サイトへ誘導する、カード情報や個人情報に関わる可能性がある、サーバーから大量メールが送られているといった状況では、被害拡大を止める判断を優先します。一方で、軽微に見える改ざんでも、原因確認前に公開を続けることが適切とは限りません。事業への影響と被害の性質を見ながら決める必要があります。

管理者パスワードの変更も早めに行います。ただし、WordPressの管理者だけを変えて終わりにしないことが大切です。サーバー管理画面、FTPやSFTP、データベース、登録メールアカウント、外部連携サービスまで、管理権限を持つ入口を整理します。複数人で同じIDを使っている場合は、誰がいつ操作したか追えないため、個別アカウントへの切り替えも検討対象です。

駆除作業は「削除」より「原因を閉じる」ことが重要

実際の駆除では、コアファイル、テーマ、プラグイン、アップロードフォルダ、データベース、ユーザー一覧、サーバー上の不要なファイルを横断して確認します。不審なPHPファイルや難読化されたコードが見つかることもありますが、ファイル名だけで安全性は判断できません。正規プラグインの改変、バックドアの設置、データベース内の不正スクリプトなど、確認箇所は複数あります。

よくある対応は、感染前と思われるバックアップへ戻す方法です。これは有効な選択肢ですが、バックアップ取得時点ですでに侵入されていた場合や、脆弱性がそのまま残る場合は再発します。また、バックアップ後に更新された記事、問い合わせデータ、受注情報を失う可能性もあります。復元は便利な処置ですが、原因調査の代わりにはなりません。

比較的構成がシンプルなコーポレートサイトなら、WordPress本体、テーマ、プラグインを正規ファイルで入れ直し、必要なデータだけを慎重に移す方が確実なことがあります。反対に、独自機能やEC、会員機能を持つサイトでは、安易な入れ直しが動作不良やデータ欠損につながることもあります。どちらがよいかは、感染範囲とサイトの構成次第です。

復旧後は、管理画面の動作、フォーム送信、メール通知、決済、会員ログイン、検索結果での表示などを確認します。特にフォームは見た目が正常でも送信先メールが書き換えられていることがあります。ホームページを営業導線として使う会社では、公開確認とあわせて、資料請求や問い合わせが正しく届くかまで確かめるべきです。

自社で対応できる範囲と、外部へ相談したいケース

WordPress、テーマ、プラグインを定期的に更新し、正常時のバックアップがあり、管理者権限やサーバー設定を把握しているなら、軽微なケースでは社内対応できることもあります。その場合も、作業前後の記録を残し、何を更新・削除・変更したかを一覧にしておくと、再発時の調査に役立ちます。

一方で、次のような場合は、制作会社やWordPress保守の担当者へ相談する方が安全です。

• 検索結果に不審なページが大量に出ている
• 管理画面へログインできない、または未知の管理者がいる
• サーバー会社から停止や大量送信に関する連絡が来ている
• ECサイト、会員サイト、顧客情報を扱うフォームを運用している
• バックアップの有無や、制作時の管理情報が分からない
• 以前の制作会社と連絡が取れず、引き継ぎ資料もない

これは技術力だけの問題ではありません。誰に、どの範囲で、どの権限を渡すかを整理する必要があるからです。特に管理情報が不明なサイトは、復旧と並行して、ドメイン、サーバー、WordPress、解析ツール、メールの契約者とログイン情報を棚卸しすることが欠かせません。会社のWeb資産を個人任せにしないための整備でもあります。

再発防止は、更新作業を増やすことだけではない

再発を防ぐ基本は、WordPress本体、テーマ、プラグインを適切な頻度で更新し、使っていないものを削除することです。ただし、更新すれば必ず安全というわけではありません。相性問題で表示やフォームが崩れる可能性があるため、本番更新の前後に確認する運用が必要です。

管理アカウントは最小限にし、強いパスワードと多要素認証を使います。サーバーやファイルの権限も、必要以上に広げないようにします。バックアップは「取っている」だけでは不十分で、どこに保管され、どの時点まで戻れ、実際に復元できるかを確認して初めて役に立ちます。

さらに、月次で更新内容、バックアップ状況、不審な挙動、アクセスの変化を確認できると、問題の早期発見につながります。保守の価値は、障害が起きたときだけに現れるものではありません。普段からサイトの状態を見える化し、小さな不具合や古い設定を放置しないことが、会社の信用を育てます。

+STOCKでは、WordPress保守（Web／EC）を起点に、必要に応じてWeb分析レポート／改善や導線の見直しまで含めて考えます。感染後に元へ戻すだけでなく、誰が管理し、どの情報を確認し、次に何を改善するかが分かる状態へ整えることが、長期目線では重要です。

マルウェア感染は、管理体制を見直すきっかけにもなります。もし管理情報やバックアップの所在が曖昧なら、問題が起きていない今のうちに、保守引き取り診断や無料診断のような相談先で現状を整理しておくとよいでしょう。守る仕組みが整って初めて、ホームページを営業と信用のために育てていけます。