マルウェア感染によるサイト改ざんも即修復・復旧

マルウェアの感染が発覚した後はバックアップのデータが保存されているのであればそのバックアップファイルを上書きすることで元の状態に戻すことが可能になります。

しかしながら、あまりWordPressの知識に詳しくない方の場合、ホームページやプログ自体を破損させてしまうことがありますので専門家に依頼することをお勧めします。

また、個人のブログなどで予算をかけたくないという方やそもそもの記事の数が始めたばかりで少ない、バックアップからの修復の方法が分からないといった方の場合はマルウェアに感染しているサイトは諦めて、新たにサイトを作り直すということをお薦め致します。

その際に必ずしなくてはならないのは現在のサイトや同じ共用サーバーにあるサイトは削除することです。

感染の規模にもよりますが、マルウェアに感染しているサイトの修復・駆除は通例数万円、大規模サイトの場合は数十万円ということも現実に存在します。

時間と労力が必要なため、この値段は致し方ないことでもあります。マルウェア感染によるサイトの復旧は目視による人海戦術的な側面があります。語弊があるかもしれませんが、デジタルの作業というより、アナログの作業に近いのです。なにか、特別なソフトがあって、そのソフトを導入すれば簡単に修復出来るのであれば費用も抑えられるのですが、将来的にはそういった便利が修復ソフトが開発されるにせよ、2022年現在、私の知りうる限り、そういった便利なソフトは記憶にありません。

マルウェアに感染する原因は？

圧倒的に多いのはWordPress本体、PHP、プラグイン、テーマの長期間放置が多く、とりわけ多いのはプラグインからの侵入です。

また、使用していないテーマやプラグインは単に停止させておくだけでなく、ファイルごと削除してください。また、実際はそこまでありませんが、ダッシュボードへのログイン情報が推測しやすいものに設定してあるということがあります。

当然、複雑化した方がサイトの安全性を高めるためにはよく、不正アクセスの大半が海外からのものですから「SiteGuard WP Plugin」を導入して、日本語をログイン情報に含ませるプラグインが有効です。

有効なマルウェア対策

インターネットに接続している限り、すべてのパソコンやスマートフォン、タブレットは何らかの危険性が必ず存在します。また、こういった情報処理端末（デバイス）のみならず、監視カメラやルーター、モデム、遠隔操作の機器類など、インターネットに接続している以上、常に危機に直面しています。

このため、「この項目だけをサーバー側で設定しておけば万事安心」、「セキュリティソフトをパソコンにインストールから大丈夫」、「不正アクセス防止のプラグインをホームページに導入した」としても絶対的に安心安全だとは言い切れません。

しかしそれでも、「常に更新をして、テーマ、WordPressのバージョン、PHPのバージョン、プラグインのバージョンは最新状態にしておく」、「使わない機能は無効化、若しくはサイト（サーバー）内から削除する」、「誕生日や氏名、数日の連番など、簡単に推測、解析されるユーザ名やパスワード名は使わないよう心掛け、大半の不正アクセスが海外からのものですからSiteGuard WP Pluginというプラグインを導入してダッシュボード（管理画面）のログインには日本語のひらがななどを組み合わせる」、「WordPressを構成するファイルの配置を変更する」と言った複数の対策を組み合わせることで、不正アクセスを試みる者は容易に手出しができなくなるため、リスクを回避できる可能性は大幅に高まります。

以下に我々WordPress救急隊が推奨するマルウェア対策を述べておきます。

1.常に最新のバージョンを使用する

WordPress本体、および、WordPressのダッシュボードからインストールしたテーマやプラグインは、[ダッシュボード] 内の [更新]から最新版へ更新可能です。

本番環境での更新が不安な場合は、サーバコントロールパネルの「バックアップ＆ステージング」からバックアップを取り、更新を実行してください。

なお、最新状態にすることでテーマや他のプラグインとバッティングをしてサイトに不具合が生じることがあります。

「致命的なエラーをチェックするためにサイトと通信できないため、PHP の変更は取り消されました。」や「このサイトで重大なエラーが発生しました」と表示され、サイトが表示されなくなり、管理画面にログインすることが出来なくなることがありますが、その際はFFFTPなどのFTPクライアントソフトウェアを使うか、サーバーのコントロールパネルから該当するプラグイン名を一時的に変更することによって元に戻ります。

例、プラグイン名akismet→akismet2のようにする。

2.自動更新を有効化

WordPressではデフォルトの状態で、下記を対象とした自動更新機能があります。
(マイナーリリースおよび翻訳ファイルのみ)

コアファイル更新
翻訳ファイル更新

こちらは設定によって無効化可能ですが、基本的に有効のまま運用してください。

3.使わない機能は無効化する

ピンバック送信に使われる xmlrpc.php 等のファイルは、しばしば攻撃にさらされ、不正アクセスのリスクとなる場合があります。

このような不要な機能を無効化することで不正アクセスを防ぐことが出来ます。また、有効化されないまま放置されているプラグインやテーマは削除する事で、 不正アクセスのリスクを低減させる事が可能です。
なお、不要テーマの削除はダッシュボードから削除が可能です。以下の手順に従って削除しておいてください。

4:簡単に推測、解析されるユーザー名やパスワード名は使わないようにする

WordPressに限らず、ネットバンキングやクレジットカードなど、すべてのパスワードにも言える事ですが、パスワードはできる限り推測されにくく、安易ではない文字列のパスワードを設定ください。アルファベットの大文字小文字、半角記号の組み合わせも有効です。

5:『All In One WP Security & Firewall』を使ってセキュリティを強化する

WordPressのプラグインにもセキュリティ系プラグインは多数ありますが、そのうちのひとつである『All In One WP Security & Firewall(AIOWPS)』はセキュリティ強化に効果的ですのでお薦めいたします。

以下、『All In One WP Security & Firewall』の中でも比較的容易に導入可能な項目をご紹介します。

プラグインを有効化する
『All In One WP Security & Firewall』をはじめ、WordPressのプラグインを有効化するには、WordPressの管理画面(ダッシュボード)にログインしてください。必要に応じて各項目の設定をしてください。

マルウェア感染関連のWordPress修理・修復費用