ハッキングされたWordPressサイトのバックドアを検出・駆除する完全ガイド

ウェブサイトがハッキングされたことを知るのは、本当にショックな出来事です。サイトが侵害されると、ハッカーはそれを悪意ある活動の実行や、訪問者を自分のサイトへリダイレクトさせるために利用します。さらに厄介なのは、Googleがハッキングされたサイトを発見するとブラックリストに登録し、ホスティングプロバイダーがアカウントを停止してしまうことさえある点です。

一度ハッキングされるだけでも大変なのに、何度も繰り返されれば悪夢そのものです。あなたは決して一人ではありません。過去10年間で私たちが調査した何千ものハッキングされたWordPressサイトのうち、75%以上に少なくとも1つのバックドアが仕掛けられていました。この記事では、マルウェアをスキャンし、サイト上のバックドアを見つけて駆除する方法を詳しく解説します。

要点： バックドアが見つかり、感染の駆除とサイトの復旧だけを目指しているなら、WordPress向けバックドア除去ツール「MalCare」を導入しましょう。サイトを瞬時にクリーンアップし、短時間で復旧させることができます。

なぜハッカーはバックドアを仕掛けるのか？

調査によると、プラグインの脆弱性はWordPressサイトがハッキングされる主な原因の一つです。サイトへのアクセスに成功したハッカーは、静かにバックドア――すなわち悪意のあるコード――を設置します。バックドアは小さく、目立たない場所に隠されており、ハッカーに将来のサイトへの侵入経路を与えます。しかも、できる限り発見されにくいよう巧妙に細工されているのです。

バックドアはなぜ見つけにくいのか？

バックドアはWordPressファイルからデータベースまで、サイト内のどこにでも潜むことができます。識別しづらいよう設計されており、無害なコードと簡単に混同されてしまいます。1つのサイトに複数のバックドアが存在することもあり、手動で探すのはまさに干し草の山から針を探すような作業です。

隠されたバックドアを見つけるのは、干し草の山から針を探すようなもの。それを深く掘り起こせるのは、非常に強力なスキャナーだけです。

WordPressサイトのマルウェアとバックドアを見つけるには？

前述のとおり、バックドアは複雑で高度に隠されています。そのため、これらを特定するには非常に強力なツールが必要です。手動でのスキャンも試せますが、コストは抑えられる一方、見逃す可能性が高くなります。たった1つ見逃すだけで、ハッカーはそれを利用してサイトを再感染させ、努力が水の泡になってしまいます。さらに、ハッカーは他の種類のマルウェアも残している可能性があります。バックドアだけを削除しても、サイトが完全に安全になるわけではないのです。

そのうえ、手動作業ではミスが発生する恐れもあります。これらすべてを考慮すると、バックドアのスキャンと駆除はセキュリティプラグインに任せるのが賢明です。次のステップは、優れたWordPressセキュリティプラグインを選ぶことです。

バックドアを仕掛ける目的は、ハッカーが検知されずにサイトへ侵入できるようにすることです。ハッカーはバックドアを隠すことに細心の注意を払い、発見や特定を極めて困難にしています。隠れたバックドアを見つけられるのは、強力なマルウェアスキャナーだけです。

ハッカーは常に、侵入して悪用できる脆弱なサイトを探しています。サイトがハッキングされ、バックドアに感染している疑いがあるなら、直ちに対処する必要があります。セキュリティプラグインを使えば、サイトを修復できます。

WordPressセキュリティプラグインは「スキャン」「駆除」「予防」という3つの基本タスクを担います。ただし、すべてのプラグインが同じ方法でスキャン・駆除・保護を行うわけではなく、性能には大きな差があります。次のセクションでは、バックドアのスキャンと駆除に使える強力なマルウェアスキャナーをご紹介します。

バックドアスキャナーの使い方

優れたバックドアスキャナーを探すなら、そのスキャン方式に注目しましょう。既知のマルウェアやバックドアを表面的に探すだけのスキャナーもあれば、新しく複雑な隠れたマルウェアまで深く掘り下げて検出するスキャナーもあります。MalCareのようなディープスキャナーは、隠れたマルウェアの検出にとどまらず、コードのパターンを分析し、その挙動をチェックすることで、そのコードが悪意あるものかどうかを判断します。これにより、多くのセキュリティプラグインが陥りがちな「正常なコードをバックドアと誤判定する」問題を回避できます。それでは、スキャナーの実際の流れを見てみましょう。

ハッキングされたWordPressサイトをスキャンするには、まずセキュリティプラグインをインストールし、サイトをMalCareのダッシュボードに追加します。最初のスキャンが自動的に始まり、完了までに時間がかかる場合があります。処理が完了すると、マルウェアが検出されたかどうかが通知されます。バックドアもマルウェアの一種です。

MalCareはバックドアだけでなく、サイトに存在する可能性のある他のあらゆるマルウェアも検出します。

すべてのマルウェアとバックドアが検出されたら、次は当然それらを削除する段階です。

一般的に、ハッキングされたサイトを駆除するには、セキュリティプラグインの提供元に連絡し、wp-adminへのアクセス権を渡す必要があります。正直なところ、これは最善の解決策とは言えません。セキュリティの観点から、見知らぬ他人にアクセス権を渡すのは決して良い考えではありません。さらに、ほとんどのセキュリティプラグインは悪意あるコードの削除に24時間から数日を要します。Googleにブラックリスト登録される前に、できるだけ早くサイトを駆除することが何より重要です。

バックドアを即座に削除したいなら、MalCareが最適です。「自動クリーニング（Auto Clean）」を選択するだけで自分で駆除を開始できるWordPressマルウェア除去機能を備えており、数分以内にすべてのバックドアとマルウェアを、手間なく削除します。

将来のバックドア被害を防ぐには

バックドアの削除は一時的な対策にすぎません。サイトは再びハッキングされ、またバックドアを仕掛けられれば、同じ問題が繰り返されます。この悪循環を断ち切る鍵は、サイトがどのようにハッキングされているのかを突き止め、その原因を修正することです。

ハッキングの原因として考えられるのは、主に次の3つです。

1. 脆弱なプラグイン＆テーマ
2. Webホストへの侵入
3. 弱い認証情報の使用

1. プラグイン＆テーマを見直す

プラグインやテーマが頻繁にアップデートされていることに気づいたことはありませんか？ アップデートはパフォーマンスの向上や新機能の追加、そして何よりバグやセキュリティ問題の修正に役立ちます。特に多数のサイトを運営している方にとっては、アップデートの頻度についていくのが大変かもしれません。しかし、プラグインやテーマにセキュリティ上の欠陥があり、更新を怠れば、サイトはハッカーに対して無防備になります（関連記事：WordPressのアップデートについて）。まずはすべてのテーマとプラグインを今すぐ更新しましょう。併せて、テーマやプラグインのマルウェアスキャンも定期的に実施してください。今後は週に1〜2回サイトを更新する習慣をつけるのがおすすめです。それが難しい場合は、WordPress管理サービスの利用を検討しましょう。

また、違法に無料ダウンロードしたプレミアムテーマやプラグインを使っているなら、すぐに削除してください。違法ソフトウェアの多くはマルウェアに感染しており、ハッカーがサイトを乗っ取る足掛かりにするため、原則として使用は避けるべきです。

2. ホスティングプロバイダーに確認する

多くの人は、ホスティングプロバイダーはハッキング不可能だと思い込んでいます。それは誤りです。Webホストは最善の対策と適切な運用を行っていますが、絶対に安全というわけではありません。有名なホスティングプロバイダーがセキュリティ侵害を受けたニュースは決して珍しくありません。実際、2018年にはドイツのホスティングプロバイダーHetznerが2回ハッキングされ、同年には人気プロバイダーのDaniel's Hostingも同様の被害を受けています。つまり、ホスティング側の侵害によって、あなたのサイトへの不正アクセスが許されていた可能性もあるのです。念のため、Webホストに確認することをおすすめします。

3. 強力な認証情報を使う

2018年、カニエ・ウェストはITセキュリティ業界で大きな話題となりました。米国大統領との面会中、彼がスマートフォンのロック解除コード「000000」をテレビカメラの前で入力する様子が撮影されたのです。インターネットはこの一件で沸き立ちました！

カニエが大統領執務室でテレビカメラの前でiPhoneのロックを解除。パスワードは「0」の繰り返しだった ― Steve Kopack（@SteveKopack）2018年10月11日

複雑な認証情報は覚えにくいため、多くの人にとっては面倒な存在です。しかし、弱い認証情報は、スマートフォン（今回の場合はウェブサイト）のハッキングを驚くほど容易にしてしまいます。サイト管理者としては、固有のユーザー名と強力なパスワードを使用すべきです。さらに、ユーザーが弱いパスワードを設定できないよう、強力なパスワードポリシーを実装することも有効です。

これらに加えて、HTTPからHTTPSへの移行、セキュリティプラグインの導入、ログインページの保護など、さらなるセキュリティ対策も講じることができます。

まとめ

本ガイドが、バックドアの検出・駆除と予防策の理解に役立ったことを願っています。WordPressサイトのセキュリティをさらに強化したい方は、ぜひ当サイトのWordPressセキュリティガイドもご覧ください。