WordPressがマルウェアに感染したら？症状・確認方法・駆除・復旧方法を専門家が解説

WordPress（ワードプレス）サイトが突然別のサイトへ転送される、Google検索に知らないページが表示される、不審なファイルが作成されている、サーバー会社からマルウェアを検知したという連絡が届いた――。

このような症状がある場合、WordPressがマルウェアに感染している可能性があります。

マルウェア感染では、見つかった不正ファイルだけを削除しても、バックドアや侵入原因となった脆弱性が残っていると再感染することがあります。

そのため、感染範囲の確認、マルウェアの駆除、改ざん箇所の復旧、侵入原因の特定、再発防止まで行うことが重要です。

救急WEBでは、WordPressのマルウェア感染について初期調査を無料で実施し、感染が確認された場合はマルウェア駆除・復旧・再発防止まで対応しています。

WordPressのマルウェア感染でよくある症状

WordPressがマルウェアに感染しても、必ずサイトが表示されなくなるわけではありません。

サイト自体は一見正常に表示されているにもかかわらず、サーバー内部では不正なファイルやバックドアが設置されているケースもあります。

次のような症状がある場合は注意が必要です。

これらの症状があるからといって、必ずマルウェア感染と断定できるわけではありません。

プラグインの不具合やサーバー設定など別の原因でも似た症状が発生するため、実際のファイルやデータベース、WordPressの状態を確認して判断する必要があります。

WordPressのマルウェアとは？

マルウェアとは、Webサイトやサーバーなどへ侵入し、不正な処理を行うプログラムやコードの総称です。

WordPressがマルウェアに感染すると、サイトを書き換えられるだけでなく、不正なページを大量に生成されたり、別サイトへ転送されたり、攻撃者が再び侵入するためのバックドアを設置されたりすることがあります。

「マルウェア」「改ざん」「乗っ取り」「ハッキング」は似た意味で使われることがありますが、厳密には意味が異なります。

マルウェア感染によって、改ざんや乗っ取りが同時に発生するケースもあります。

WordPressがマルウェアに感染しているか確認する方法

WordPressがマルウェアに感染しているか確認する方法はいくつかあります。

一つの確認方法だけで「感染していない」と判断するのではなく、複数の方法を組み合わせて確認することが重要です。

WordPressのセキュリティプラグインでスキャンする

Wordfenceなどのセキュリティプラグインには、WordPress内のファイルをスキャンして不審な変更やファイルを検出する機能があります。

WordPress管理画面へログインできる場合は、最初の確認方法の一つとして利用できます。

ただし、スキャン結果に問題が表示されなかったからといって、すべてのマルウェアやバックドアが存在しないことを保証できるわけではありません。

Google Search Consoleを確認する

Google Search Consoleを利用している場合は、セキュリティ上の問題が検出されていないか確認します。

また、通常作成した覚えのないページやURLが大量にGoogleへ登録されていないかも確認してください。

検索結果に知らない通販ページや外国語ページが表示されている場合は、SEOスパムなどの被害が発生している可能性があります。

サーバー内のファイルを確認する

FTP・SFTPやサーバーのファイルマネージャーなどを使用して、WordPress内に不審なファイルがないか確認します。

特に確認したい場所として、

• wp-admin
• wp-includes
• wp-content/plugins
• wp-content/themes
• wp-content/uploads
• .htaccess
• wp-config.php

などがあります。

例えば、通常画像などを保存するuploadsフォルダ内に見覚えのないPHPファイルがある場合は注意が必要です。

ただし、ファイル名や設置場所だけでマルウェアと断定しないでください。

正規のプラグイン等が生成したファイルを誤って削除すると、サイトが正常に動作しなくなる可能性があります。

管理者ユーザーを確認する

WordPress管理画面の「ユーザー」から、身に覚えのない管理者アカウントが追加されていないか確認します。

すでに退職した担当者など、現在使用していない管理者アカウントが残っている場合も確認が必要です。

サーバー会社からの通知を確認する

レンタルサーバー会社が不正ファイルや不審なアクセスを検知した場合、登録メールアドレスへ連絡が届くことがあります。

サーバー会社から「マルウェア」「不正アクセス」「不正ファイル」などの連絡が届いている場合は、記載されたファイルや状況を確認してください。

マルウェア感染時にやってはいけないこと

WordPressのマルウェア感染では、対処方法を誤ると原因が分からなくなったり、復旧後に再感染したりすることがあります。

怪しいファイルだけを削除して終わらせる

不審なファイルを1つ削除してサイトが正常に戻ったとしても、それだけで駆除が完了したとは限りません。

別の場所にバックドアが存在していれば、再び不正ファイルが生成される可能性があります。

感染原因を確認せずバックアップから戻す

正常だった時点のバックアップへ戻すことで、一時的にサイトが復旧する場合があります。

しかし、侵入原因となった脆弱性や設定が残ったままであれば、再感染する可能性があります。

不審なファイルを確認せず一括削除する

WordPressには、本体・テーマ・プラグインなど多数のPHPファイルがあります。

ファイル名だけを見て判断して削除すると、正常なファイルまで削除してサイトが表示できなくなることがあります。

駆除後も古いWordPressやプラグインを放置する

感染原因がプラグインなどの既知の脆弱性だった場合、マルウェアだけを除去しても根本的な問題は解決していません。

駆除後は、侵入原因になった可能性のある脆弱性への対応も必要です。

WordPressがマルウェアに感染する主な原因

WordPressがマルウェアに感染する原因は一つではありません。

代表的な原因には次のようなものがあります。

WordPress本体・プラグイン・テーマの脆弱性

WordPress本体だけでなく、プラグインやテーマにも脆弱性が発見されることがあります。

脆弱性のある古いバージョンを使用し続けていると、攻撃に悪用される可能性があります。

現在のWordPressに脆弱性がないか確認したい場合は、救急WEBの無料WordPress脆弱性診断もご利用いただけます。

ID・パスワードなどの認証情報の漏えい

WordPress管理画面だけでなく、FTP・SFTP、サーバー管理画面などの認証情報が漏えいすると、第三者に不正アクセスされる可能性があります。

同じパスワードを複数のサービスで使い回している場合も注意が必要です。

古いPHPや長期間更新されていない環境

サポートが終了したPHPや、長期間更新されていないWordPress環境では、セキュリティ上の問題が残っている可能性があります。

ただしPHPを更新する際は、使用中のテーマ・プラグインとの互換性確認も必要です。

同一サーバー内の別サイトから感染する

1つのサーバー内に複数のWordPressを設置している場合、一つのサイトだけを修復しても、別サイトにマルウェアが残っていると再感染するケースがあります。

複数サイトを同じサーバーで運用している場合は、感染範囲をサーバー全体で確認することが重要です。

ファイル・フォルダの権限設定

必要以上に緩いパーミッションが設定されている場合、環境によってはセキュリティリスクにつながることがあります。

特に777など過剰な権限が設定されている場合は、サーバー環境を確認したうえで適切な値へ修正します。

WordPressマルウェアを駆除・復旧する方法

WordPressのマルウェア駆除では、単にウイルススキャンを実行して不審ファイルを削除するだけでは不十分な場合があります。

基本的には、

1. 感染範囲を確認する
2. 不正ファイル・不正コードを特定する
3. バックドアを確認する
4. データベースの改ざんを確認する
5. 不正ユーザーを確認する
6. マルウェアを除去する
7. WordPress・プラグイン・テーマの脆弱性を確認する
8. パスワードや権限などを見直す
9. サイトが正常に動作するか確認する
10. 再感染がないか確認する

という流れで進めます。

感染状況によって必要な作業は異なるため、すべてのサイトで同じ方法を行えばよいわけではありません。

救急WEBが実際に行うマルウェア駆除・復旧

救急WEBでは、WordPressのマルウェア感染が確認された場合、マルウェアを削除するだけではなく、感染範囲・侵入原因・再発防止まで確認します。

主な作業の流れは次のとおりです。

STEP1　被害状況・感染範囲を確認

サイトの症状、WordPress、サーバー内のファイルなどを確認し、どのような被害が発生しているか調査します。

STEP2　不正ファイル・不正コードを調査

WordPress本体、プラグイン、テーマ、uploadsなどを確認し、不正ファイルや不正コードを特定します。

STEP3　マルウェア・バックドアを除去

確認されたマルウェア、不正コード、バックドアなどを除去します。

STEP4　データベース・管理者ユーザーを確認

WordPressデータベースに不正データがないか確認し、身に覚えのない管理者ユーザーなどが存在する場合は必要な対応を行います。

STEP5　侵入原因・脆弱性を確認

WordPress本体・テーマ・プラグインなどのバージョンを確認し、既知の脆弱性など侵入原因となる可能性がある箇所を調査します。

STEP6　再発防止のセキュリティ対策

ファイル権限、不正ログイン対策、WAFなど、サイトやサーバー環境に合わせたセキュリティ対策を実施します。

STEP7　Google検索結果などの後処理

不正ページがGoogleにインデックスされている場合や検索結果が改ざんされている場合は、正常化に向けた対応を行います。

STEP8　再感染を確認して作業内容を報告

サイトが正常に動作しているか、マルウェアが再び生成されていないか確認し、作業内容を報告書にまとめてご報告します。

WordPressマルウェア駆除事例

【事例1】不正なショッピングページへリダイレクトされる

症状

WordPressサイトへアクセスすると、一定の条件で身に覚えのない海外のショッピングページへ自動的に転送される状態になっていました。

確認した内容

サーバー内を調査したところ、WordPressのファイルに外部サイトへリダイレクトする不正なコードが追加されていました。

また、不正ファイルを再生成する可能性のあるファイルが残っていないか、サイト全体を確認しました。

対応

不正コード・不正ファイルを除去し、WordPress本体・プラグインを確認したうえで必要なアップデートとセキュリティ対策を実施しました。

結果

不正なショッピングページへの転送が発生しないことを確認し、正常なサイト表示へ復旧しました。

【事例2】Google検索に大量の不正ページが表示される

症状

Google検索結果に、サイト運営者が作成した覚えのない商品ページや不審なURLが多数表示されていました。

確認した内容

WordPress・サーバー内を調査したところ、不正ページの生成に関係するマルウェアや改ざん箇所を確認しました。

また、Google検索にはすでに複数の不正URLがインデックスされていました。

対応

マルウェア・不正ファイルを除去し、新たな不正ページが生成されない状態へ復旧しました。

その後、Google検索に残っている不正URLについて削除申請を実施しました。

結果

不正ページの生成が停止していることを確認し、Google検索結果についても正常化に向けた対応を行いました。

【事例3】不正ファイルを削除しても再び生成される

症状

サーバー内の不正ファイルを削除しても、しばらくすると同じようなファイルが再び生成される状態になっていました。

確認した内容

サーバー内部を詳しく調査したところ、不正ファイルを再生成する処理が動作しており、不正なcronやプロセスが残っていることを確認しました。

対応

不正ファイルだけでなく、マルウェアを再実行していた不正タスク・不正プロセスを停止・除去しました。

あわせてWordPress本体・プラグインの確認と必要なセキュリティ対策を実施しました。

結果

不正ファイルが再生成されないことを確認し、マルウェアの実行が停止した状態まで復旧しました。

自分で駆除できるケース・専門業者へ依頼すべきケース

WordPressのマルウェア感染は、すべて専門業者へ依頼しなければならないわけではありません。

原因や感染範囲が明確で、WordPress・サーバーについて十分な知識がある場合は、自分で対応できることもあります。

一方、複数の場所が改ざんされている場合や、削除したファイルが再生成される場合などは、専門業者へ依頼した方が安全です。

WordPressマルウェア駆除の料金

救急WEBでは、WordPressのマルウェア感染について初期調査0円で確認しています。

感染が確認され、駆除・復旧をご依頼いただく場合の料金は1サイト19,800円（税込）です。

サイトが復旧しなかった場合は料金が発生しない完全成果報酬制です。

また、作業完了後は3か月間の再発保証があります。

マルウェアの再感染を防ぐための対策

マルウェアを駆除した後は、感染原因となった可能性のある箇所を確認し、再発防止を行うことが重要です。

WordPress本体・プラグイン・テーマを適切に更新する

古いWordPressやプラグイン、テーマに既知の脆弱性が存在する場合は、互換性を確認したうえで必要なアップデートを行います。

使用していないプラグイン・テーマを削除する

現在使用していないプラグインやテーマでも、サーバー上にファイルが残っていれば攻撃対象になる可能性があります。

不要なものは削除します。

管理者・サーバー等のパスワードを変更する

WordPress管理者だけでなく、必要に応じてサーバー、FTP・SFTPなどの認証情報も見直します。

同じパスワードの使い回しは避けてください。

二段階認証・ログイン対策を導入する

WordPress管理画面への不正ログインを防ぐため、二段階認証やログイン試行制限などを検討します。

ファイル・フォルダの権限を確認する

WordPressの主要ファイルやフォルダについて、必要以上に緩いパーミッションが設定されていないか確認します。

WAFなどサーバー側のセキュリティ機能を確認する

利用しているレンタルサーバーにWAFなどのセキュリティ機能が用意されている場合は、サイトとの互換性を確認しながら活用します。

定期的にマルウェア・改ざんをチェックする

サイトが正常に表示されている場合でも、マルウェアが潜伏していることがあります。

定期的なアップデートとあわせて、改ざんやマルウェア感染がないか確認することが重要です。

WordPressマルウェアについてよくある質問

WordPressがマルウェアに感染しているか確認する方法はありますか？

Wordfenceなどのセキュリティプラグインによるスキャン、Google Search Console、サーバー内のファイル、管理者ユーザーなどを確認する方法があります。

ただし、一つの方法だけですべてのマルウェアが存在しないことを確認できるわけではありません。

WordPressのマルウェアスキャンは無料でできますか？

無料で利用できるセキュリティプラグインや外部スキャンサービスがあります。

ただし、外部から確認できる範囲や無料版で確認できる内容には限界があります。

Wordfenceでスキャンすればマルウェアを完全に駆除できますか？

Wordfenceはマルウェアや改ざんを確認する手段の一つですが、スキャンだけで感染原因やすべてのバックドアまで解決できるとは限りません。

検出された内容を確認したうえで、必要な駆除・復旧・再発防止を行う必要があります。

マルウェアを削除したのに再発するのはなぜですか？

別の場所にバックドアが残っている、脆弱性が修正されていない、同一サーバー内の別サイトにマルウェアが残っているなど、複数の原因が考えられます。

マルウェア感染はSEOにも影響しますか？

不正ページが大量に作成されたり、別サイトへ転送されたり、Googleからセキュリティ上の問題が検出された場合などは、検索流入やサイトの信頼性に影響する可能性があります。

Google検索に知らないページが表示されている場合も対応できますか？

はい。

救急WEBでは、マルウェアの駆除だけでなく、Google検索結果の改ざんや不正URLが登録されている場合の正常化にも対応しています。

マルウェア駆除にはどのくらい時間がかかりますか？

感染状況やサイト数によって異なります。

救急WEBでは状況を確認したうえで、作業時間の目安をご案内しています。

WordPressのマルウェア駆除料金はいくらですか？

救急WEBでは、初期調査0円、マルウェア駆除・復旧は1サイト19,800円（税込）です。

駆除できなかった場合も料金はかかりますか？

救急WEBでは完全成果報酬制としており、マルウェア駆除・復旧が完了しなかった場合は料金をいただいていません。

他社で駆除できなかったWordPressでも相談できますか？

はい。

まずは現在のサイト・サーバーの状態を確認し、対応可能か調査します。

まとめ

WordPressがマルウェアに感染すると、別サイトへの不正リダイレクト、不正ページの生成、サイト改ざん、不審な管理者ユーザーの追加など、さまざまな症状が発生する可能性があります。

重要なのは、目に見える不正ファイルだけを削除して終わらせないことです。

バックドアや侵入原因となった脆弱性が残っている場合は、一度復旧しても再びマルウェアに感染する可能性があります。

そのため、

1. 感染範囲を確認する
2. 不正ファイル・不正コードを除去する
3. バックドアやデータベースを確認する
4. 侵入原因となった脆弱性を修正する
5. 再発防止のセキュリティ対策を行う
6. 再感染していないことを確認する

ところまで行うことが重要です。

救急WEBでは、WordPressのマルウェア感染について初期調査0円で確認しています。

「マルウェアに感染しているのか分からない」「自分で駆除したものの再発してしまう」「サーバー会社から不正ファイルの連絡が届いた」といった場合も、まずはご相談ください。