見覚えのないページが増えている、海外サイトへ転送される、検索結果に関係のない文字が出る。こうした場合、ファイルかデータベースに手を入れられています。焦って怪しいファイルを消し始めると、入口を残したまま症状だけ消すことになり、また書き換えられます。

1. 最初にやること

1. 管理画面とFTPとデータベースのパスワードを全部変える
2. いまの状態をバックアップとして取る（戻すためではなく、何をされたか調べるため）
3. 一時的にメンテナンス表示にして、訪問者に被害が及ばないようにする
4. レンタルサーバーのサポートに連絡する（同じサーバー内の他サイトが原因のこともあります）

訪問者にウイルスを配っている状態だと、検索結果に警告が出ます。サイトを止めるのは機会損失ですが、放置のほうが損失は大きくなります。

2. どこを見るか

• 最近更新日時が新しいファイル（ファイルマネージャーで日付順に並べる）
• wp-content/uploads の中の .php ファイル（本来ここにPHPは要りません）
• index.php と wp-config.php の先頭に足された行
• .htaccess に足された転送の記述
• 管理者ユーザーの一覧（知らないユーザーが増えていないか）
• テーマの functions.php

3. 戻し方

改ざんされたファイルを1つずつ直すのは現実的ではありません。どこに何が仕込まれたか全部を把握しきれないからです。確実なのは入れ替えです。

1. WordPress本体を公式から落として、wp-content 以外をすべて置き換える
2. プラグインは消して、公式から入れ直す
3. テーマは、手元にある正しいソースから入れ直す
4. uploads は画像などだけを残し、PHPファイルは消す
5. データベースは、改ざん前のバックアップがあればそこから戻す

改ざん前のバックアップがあるなら、それを戻してから本体とプラグインを最新にするのが一番早いです。いつから入られていたか分からない場合は、古いバックアップまで遡ることになります。

4. 入口をふさぐ

入られる経路は、だいたい次のどれかです。

• 古いプラグインやテーマの脆弱性（いちばん多い）
• 使っていないのに置いたままのプラグイン
• 推測できる管理者IDとパスワード
• 他のサービスと同じパスワードの使い回し
• PHPやサーバーのソフトが古い

無効化しただけのプラグインもファイルは残っており、脆弱性が見つかれば攻撃の対象になります。使わないものは削除してください。

5. 検索結果の表示を直す

きれいにしたあと、Search Console でセキュリティの問題の項目を確認し、修正を報告します。ここをやらないと、実態が直っても警告だけが残ることがあります。

同じことが起きにくい形に直す

改ざんが繰り返される現場には、更新できない理由があります。テーマを直接書き換えている、動かなくなるのが怖くて更新を止めている、といった状態です。

当社では、更新しても壊れない形に作り直すご依頼を承っています。復旧だけを切り出したご相談にも対応しています。