ハッキング後のクリーンアップだけでは不十分！WordPressサイトを再攻撃から守る6つの必須セキュリティ対策

WordPressサイトのマルウェア除去が完了したからといって、油断は禁物です。クリーンアップはあくまで作業の半分に過ぎません。クリーンアップ後の対策を講じなければ、ハッカーは再びサイトへ侵入してきます。

ハッカーは侵入に成功すると、まず真っ先に「バックドア（裏口）」を作成します。これにより、サイトがきれいに駆除された後でも、何度でも再侵入できるようになるのです。しかし、適切なセキュリティ対策をいくつか実施するだけで、繰り返される侵入を防ぐことができます。以下の手順に従えば、脆弱性を根絶し、WordPressサイトのセキュリティを大幅に強化できるでしょう。

実際の脆弱性を特定して修正する

調査によると、ハッキングされたサイトの原因第1位はプラグインとテーマです。では、なぜなのでしょうか？　原因はテーマやプラグインの使用そのものではなく、サイトオーナーが更新を怠っていることにあります。

世界のウェブサイトの約30%がWordPressで構築されており、このプラットフォームはオンライン上で圧倒的な存在感を誇っています。テーマやプラグインといったアドオンがあるからこそ、WordPressは誰でも簡単にサイトを構築できる環境となっています。サイトに導入するプラグインやテーマは、慎重に選ぶことが推奨されます。

しかし、どれほどコーディングが優れていても、開発者がどれほど有名であっても、ソフトウェアには脆弱性が生まれる可能性があります。脆弱性が発見されると、開発者は直ちにパッチをリリースし、アップデートを公開します。サイトオーナーがそのアップデートを無視すれば、サイトは危険なまま放置されることになります。こうした脆弱性の情報は、特にハッカーの間で瞬く間に拡散し、古いバージョンのまま運用されているサイトを狙った大規模な攻撃が仕掛けられます。

そのため、サイトを常に最新の状態に保つことは、ほとんどのサイバーセキュリティ専門家が最初に挙げる対策です。あなたのサイトがハッキングされたのも、古くて脆弱なプラグインが原因だった可能性があります。したがって、クリーンアップ後の最初の対策として、すべてのプラグインとテーマを更新しましょう。アップデートによって脆弱性にパッチが当てられ、ハッキングの根本原因を取り除けます。

不正なプラグイン（ローグプラグイン）を見つけ出す

一般的に、ハッカーは自分の侵入がサイトオーナーに気づかれないことを望みます。そうすることで、あなたのサイトを静かに悪用し続けられるからです。オーナーがいつハッキングに気づくか予測できないため、ハッカーは「保険」を用意しています。それが、サイトに仕掛けられたバックドアです。

バックドアとは、家の「合鍵」のようなものです。ハッカーはバックドアを使えば、いつでも好きなタイミングでサイトへアクセスできます。彼らはバックドアとして機能する偽のプラグインを作成し、あなたのサイトにインストールするのです。こうした不正なプラグインは一見すると通常のプラグインと変わらず、見分けるのが非常に困難です。

プラグインが多すぎてどれが何をするものか把握しきれない場合は、インストール済みプラグインの一覧を作成し、一つひとつ調査することをおすすめします。プラグイン名をGoogleで検索すれば、そのプラグインが実際に存在する正式なものかどうか、すぐに確認できます。今後は、サイトに導入するすべてのプラグインとその機能を記録したリストを常に手元に残しておく習慣をつけましょう。

サイトを強化（ハードニング）する

WordPress公式は、すべてのユーザーにセキュリティを真剣に考えるよう呼びかけ、「ハードニング（サイト強化）」の手法を推奨しています。これにより、ハッキングの試みを回避できるだけでなく、万が一ハッカーが侵入した場合でもサイトを守ることができます。残念ながら、公式の推奨事項は多くのユーザーにとってハードルが高いのが現実です。

これらの対策を手動で実行するには高度な技術的知識が必要です。インターネット上には多数のチュートリアルがありますが、自己流の作業には大きなリスクが伴います。コードをたった1行でも誤れば、サイト全体が崩壊しかねません。実際、数年前にはホスティング事業者が1つの誤ったコードのせいで事業全体を失ったという事例もあるほどです。そこで、手作業によるハードニングではなく、ボタン1つで強化措置を実行できるセキュリティサービスを利用するのが賢明です。

MalCareは最も包括的なセキュリティソリューションの一つで、ハッカーがサイトへのアクセスに成功した場合に備えて、サイトのバックエンドをロックダウンする「サイトハードニング」機能を備えています。必要なセキュリティレベルに応じて3段階から選択でき、数クリックだけで次のような操作が可能です。

• 信頼できないフォルダでのPHP実行をブロック
• ファイルエディターを無効化
• テーマ・プラグインの新規インストールをブロック
• セキュリティキーの変更
• 全パスワードのリセット

ファイアウォールによる防御を導入する

クリーンアップ後の最重要対策の一つが、WordPressサイトへのファイアウォール導入です。ファイアウォールの役割は、サイトに害を加えようとする訪問者からサイトを守ることに尽きます。ファイアウォールには主に2種類あります。サイト内に設置され、悪意のあるログイン試行から守る「プラグイン型」と、Webホストが提供し、外部から遠隔でサイトを防御する「ネットワーク型」です。

一方では、All In One WP Security & Firewall や Shield Security for WordPress のように、ファイアウォール機能に特化したセキュリティプラグインがあります。他方では、MalCareのように、セキュリティパッケージの一部としてファイアウォール保護を提供する総合ソリューションもあります。

MalCareの堅牢なファイアウォールは、2つの方法でWordPressサイトを守ります。1つ目は、悪意あるIPアドレスを追跡し、サイトへのアクセスを阻止すること。2つ目は、ログインに数回失敗したユーザーにCAPTCHAを表示させることで、ブルートフォース攻撃（総当たり攻撃）をブロックすることです。

無料のファイアウォールプラグインの中には人気の高いものもありますが、無料であるがゆえに、緊急時にプロフェッショナルなサポートを受けられないというデメリットがあります。さらに、多くの開発者にとって無料プラグインは副業的なプロジェクトであり、最終的に更新が止まってしまうことも少なくありません。開発者には本業があり、生活を支え、家族を養う時間が必要だからです。プロジェクトが放置され、自然消滅するケースは決して珍しくありません。

新しいバックアップを取得する

WordPressサイトの駆除が完了したら、必ず新しいバックアップを取得してください。ごく基本的な対策に思えますが、実際には以前の古いバックアップに頼り続けているケースを多く見てきました。過去のバックアップの使用は避けることをおすすめします。それらはマルウェアに感染している可能性があるからです。

サイトがいつ感染したのか、誰にもわかりません。数ヶ月前だったかもしれません。もしそうであれば、その間ずっとバックアップサービスは、感染した状態のサイトを延々とバックアップし続けていたことになります。

サイトのハードニングや再ハッキングへの備えは必要ですが、それだけで完全な安全が保証されるわけではありません。セキュリティに絶対はなく、多くの要因に左右されるからです。だからこそ、「後悔先に立たず」とならないよう、事前の備えが重要なのです。バックアップの取得は基本中の基本となるセキュリティ対策であり、新しいバックアップを取っておけば、万一災害が再び襲っても立ち戻れるセーフティネットが確保されます。

バックアップサービスを選ぶ際には慎重さが求められます。MalCareのバックアップは、約10年にわたりバックアップサービスを提供してきたBlogVaultによって支えられています。私たちのサービスを信頼するユーザーは2万人以上にのぼります。BlogVaultなら、サイトは毎日自動でバックアップされ、いつでもアクセス可能で、データは最大365日間保管されます。BlogVaultはオールインワンのバックアップソリューションとして設計されており、多彩な機能を搭載しています。詳細については、専用ページをご覧ください。

ブラックリスト登録を解除する

Googleは世界最大の検索エンジンであり、ユーザーに安全なオンライン体験を提供することに尽力しています。Googleは毎日、訪問者に有害と判断した数百ものウェブサイトをブラックリストに登録しています。ブラックリストに登録されたサイトにアクセスしようとすると、警告ページが表示され、「戻る」や「安全なページに戻る」といったボタンが提示されます。つまり、Googleが訪問者のサイトへの進入を防いでいるのです。

Googleにブラックリスト登録されると、オーガニック検索トラフィックが激減し、オンライン上の評判にも深刻な打撃となります。もしサイトがブラックリストに登録された場合は、サイトの駆除と修復が完了したことをGoogleに通知し、審査をリクエストする必要があります。対応手順を解説した「ブラックリスト削除ガイド」をご用意していますので、ぜひ活用してください。また、万が一再び同じ事態に見舞われた場合に備えて（自分のサイトだけでなく、友人や同僚のサイトのためにも）、このページをブックマークしておくことをおすすめします。

なお、サイトがハッキングされた場合、ホスティング事業者がサイトを停止（サスペンド）する可能性がある点にも注意が必要です。自分のサイトが停止されていないか必ず確認し、該当する場合は速やかに対処しましょう。「Fix Web Host Suspended Site」のガイドがその解決の手助けになります。

まとめ：今すぐ行動を

改めて整理します。サイトのセキュリティを守るために、クリーンアップ後に必ず実施すべき主要な対策は以下の6つです。

• 実際の脆弱性を特定して修正する
• 不正なプラグインを見つけ出す
• サイトを強化（ハードニング）する
• ファイアウォールによる防御を導入する
• 新しいバックアップを取得する
• ブラックリスト登録を解除する

セキュリティを軽視することは、災いへの第一歩です。それはハッキングを経験した人こそ痛感しているはずです。本ガイドが、ハッキング被害後のセキュリティ対策がいかに重要であるかを理解する一助となれば幸いです。ご不明な点があれば、お問い合わせページからサポートチームまでお気軽にご連絡ください。すべてのご質問にお答えいたします。