WordPressテーマがハッキングされた?感染テーマのスキャンと駆除を完全解説

ウェブサイトの動きがおかしいと感じていませんか?表示速度が極端に遅くなったり、SNSでは反応が良いのにサイトへの訪問数だけが伸びなかったり。最悪の場合、自分のサイトから締め出されてしまうこともあります。

いずれの場合も、WordPressテーマへのハッキング被害の可能性が高いと言えます。

実は、WordPressサイトへの攻撃の約11%は、脆弱性のあるテーマが原因です。サイト運営者や管理者であれば、この重大なセキュリティリスクを見過ごすと、深刻な頭痛の種になりかねません。

攻撃者はテーマの脆弱性を悪用して、サイトの乗っ取り、データベースの漏えい、トラフィックの不正リダイレクト、さらには管理者アクセスの遮断まで行う可能性があります。

一度攻撃を受けると復旧には時間と労力がかかり、その間に訪問者やビジネスチャンスを失うことになります。では、今も将来もWordPressテーマの安全を確保するには、どうすればよいのでしょうか?

要点:答えは「予防的なセキュリティ対策」一択です。定期的に脆弱性とマルウェアのスキャンを行い、悪質なマルウェアや危険なコードがテーマ内に潜む余地をなくしましょう。

WordPressテーマのハッキングとは何か?

WordPressテーマとは、スタイルシート、テンプレート、JavaScript、画像などのファイル群のことです。これらのファイルが組み合わさって、サイト独自の見た目を作り出し、投稿するコンテンツのデザインや表示に構造を与えています。

WordPressテーマはハッキング可能なのでしょうか?答えはイエス。そして、その可能性は決して低くありません。

テーマはサイトの見た目を左右する重要な要素であるため、サイト運営者は新しいテーマを試してデザインを更新したがる傾向があります。

無料のWordPressテーマは数多く存在し、海賊版(ヌル化)プレミアムテーマもあらゆるトレントサイトで入手できます。そのため、多くの人はコスト削減のため安全性の低い選択肢を選びがちです。

しかし気づいていないかもしれませんが、他のファイルと同様に、テーマも破損したり悪意ある要素を仕込まれたりすることがあります。信頼できないソースからダウンロードしたテーマには、攻撃者がインターネット経由で脆弱性を突き、サイトをハッキングできるような悪意あるリンクやIPアドレスが含まれている場合があるのです。

ハッキングされたWordPressテーマの症状とは?

WordPressテーマへのハッキングは、通常、不正リダイレクトやサイト改ざんといった症状を引き起こします。これは恥ずかしいだけでなく、重大なセキュリティ問題でもあります。しかし、症状がわかりにくく、発見が難しいケースもあります。では、テーマがハッキングされているかどうかはどう判断すればよいのでしょうか?

テーマハッキングの特定方法はいくつもありますが、中には特に明白な兆候があります。Googleからの警告メッセージやWordPressの画面真っ白エラー(WSOD)などは、サイトにマルウェアが存在する明確なサインです。

ただし、正確な結果と、サイトのどの部分が侵害されたのかという詳細な把握が必要なら、徹底的なスキャンしか頼れるものはありません。

テーマハッキングを特定するために知っておくべき指標はいくつかあります。それ以上に重要なのは、テーマハッキングがどれほど深刻なセキュリティ問題になり得るかを理解することです。テーマのハッキングが判明した場合、深刻で不快な結果に直面することになります。

サイトのクラッシュ

テーマハッキングは、サイトをほぼ瞬時にクラッシュさせる可能性があり、ストレスの原因となります。これはトラフィックとデジタルプレゼンスに直接影響します。テーマハッキングの一般的な症状であり、更新作業が大きな原因となることがあります。

お客様からよく聞く懸念の一つが、「更新によってサイトが壊れるかもしれない」という不安です。この懸念は根拠がないわけではありません。テーマの更新に脆弱性があれば、サイトがクラッシュする可能性があります。また、頻繁なテーマ更新や信頼できないソースからのテーマ利用も、クラッシュの原因になります。

幸い、回避策があります。更新前にバックアップを取れば、安定版のサイトが保護され、問題が発生した場合に復元できます。あるいは、ステージングサーバーを使えば、本番環境に展開する前にすべての更新をテストできます。

読み込み時間の長期化

表示速度の遅いサイトのコストはご存じの通りです。読み込みに永遠にかかるサイトに、誰も注意や忍耐を割こうとはしません。表示速度が遅ければ、間違いなく顧客を失うでしょう。

テーマハッキングはよくある手口の一つで、ハッカーはあなたのサイトをマルウェア、違法コンテンツ、その他大量のファイルの保管庫として利用します。これによりサイトのリソースが圧迫され、読み込み速度に悪影響が出ます。

それだけだと思うのは早計です。表示速度の遅いサイトは検索エンジンでの評価が下がり、ファイルが勝手に変更・削除されて「ページが見つかりません」エラーが発生することもあります。これはまさにSEOホラーストーリーであり、サイトのトラフィックに甚大な影響を与えます。

サイトの改ざん

サイト改ざんは冗談ごとではありません。信頼性、ブランドアイデンティティ、そしてデータが損なわれます。テーマハッキングによってハッカーはサイトの表示に直接アクセスできるため、外観をどのようにでも変更できてしまいます。多くのハッキング集団はホームページを書き換えてメッセージを残します——映画『Mr. Robot』さながらです。

その他にも、ハッカーがサイトに広告を掲載したり、個人情報を盗んだりするケースがあります。どのような形態の改ざんであれ、信頼性とビジネスに悪影響を及ぼします。

不正なリダイレクト

不正リダイレクト、いわゆる悪意あるリダイレクトも、テーマハッキングの症状の一つです。訪問者の全員または一部を全く別のWebページ——多くの場合、違法商品の販売サイトや不適切なコンテンツ——へ誘導します。これは別のソースからトラフィックを流し込むことで特定サイトのアクセス数を水増しする、よく知られたハッキング手法です。

リダイレクト自体が有害であるだけでなく、サイトの直帰率を上げ、SEOの取り組みにも支障をきたします。

サイトのブラックリスト登録

サイトがマルウェアに感染すると、特にGoogleなどの検索エンジンから「安全ではない」とフラグが立てられます。Googleは毎日1万件以上のサイトをブラックリストに登録しており、マルウェアはその主要な原因の一つです。さらに厄介なことに、他の検索エンジン、Webホスト、ブラウザもGoogleのブラックリストを参照するため、すべての場所でフラグが立てられる可能性があります。その結果、サイトは検索結果に一切表示されなくなります。

テーマハッキングは、いずれ何らかの形でオーガニックトラフィックを阻害します。先手を打って、そもそもハッキングを防ぐのが最善策です。

Webホストからの警告

あなたのサイトは、何百もの他のサイトとWebホストのサーバーを共有しています。そのため、Webホスト側にもサーバー上にマルウェアを置かない強い動機があります。ホストは定期的にサーバー上のサイトをマルウェアについてスキャンしており、検出した場合は通常、メールで警告を送ってきます。これらの警告を見逃すと、アカウントを停止される恐れがあるため、注意深くチェックしましょう。

ユーザーロールの異変

特定のユーザーが突然以前より高い権限を持つようになった場合——例えば編集者が管理者権限を取得した場合——それはハッキングの兆候かもしれません。ハッカーはサイトに侵入した後、権限を昇格させて管理者アクセスを獲得します。

サイトアナリティクスの異常

特定の地域からのトラフィックが急増したり、アナリティクスの数値がサーバー使用量と合致しなかったりする場合は、マルウェアの兆候かもしれません。急増は一見良いことに思えますが、理由のないトラフィックは、サイトを攻撃するボットトラフィックの可能性があります。

訪問者からのフィードバック

最後に、サイト訪問者とそのフィードバックに注目してください。ハッキングの中には、管理者に症状が見えないように設計されているものがあります。しかし、訪問者には症状が見えることがあります。訪問者からのフィードバックはすべて真剣に受け止めましょう。

WordPressテーマハッキングのスキャンと駆除方法

プラグインを使えば、WordPressテーマのスキャンは簡単な作業になります。サイト全体をマルウェアについてスキャンし、駆除まで行ってくれるWordPressセキュリティプラグインは複数あります。ただし、無料テーマとプレミアムテーマに品質差があるように、セキュリティプラグインにも同じことが当てはまります。

サイトのセキュリティはコストを削減すべき場所ではありません。適切なセキュリティソリューションへの投資は、サイトが抱える脆弱性を常に把握する助けになります。MalCareのような総合セキュリティソリューションを選べば、サイトをスキャンし、将来の攻撃に対する能動的な防御で守ることができます。

すべての選択肢を比較したい方は、おすすめのWordPressセキュリティプラグインのリストを参照してください。

セキュリティプラグインは、専門家が数ヶ月にわたる研究、プログラミング、テストを経て開発したものです。そのため、サイトのスキャンが速くなるだけでなく、ほぼ常に手作業よりも徹底的かつ効率的です。インストールしたプラグインは自動でサイトをスキャンし、セキュリティ上の懸念があれば通知してくれます。

WordPress公式ディレクトリでプラグインを探し、気に入ったものをダウンロードしましょう。ダウンロード後はインストールするだけで、すぐに使用開始できます。

MalCareのWordPressマルウェアスキャナーは、上記画像のようにハッキングや脆弱性を警告してくれます。このプラグインの優れた点は、スキャンが専用サーバー上で実行されることです。

つまり、スキャン中もサイトにダウンタイムや速度低下が発生しません。さらに、ファイルとデータベーステーブルの両方をスキャンするため、ハッキングを見逃す可能性は極めて低くなります。

テーマのハッキングが判明したら、できるだけ早くサイトを駆除したいところです。ただし、慌てる必要はありません。

ほとんどのセキュリティプラグインには、迅速なクリーンアップ機能も備わっています。MalCareでは有料機能として提供されており、サイトテーマを迅速かつ徹底的に駆除できます。

同じことを手作業で行う場合は、テーマを削除して再アップロードする必要があり、多大な混乱と時間を要します。

プラグインでWordPressテーマを駆除する

プラグインによるクリーンアップにかかる時間は、数分から数日程度です。セキュリティ専門家がサイトを入念に調査し、駆除まで代行してくれるプラグインもあります。ただしこの方法は時間がかかるため、ハッキングされたテーマを抱えるサイト運営者には待ちきれないでしょう。

MalCareは、自動クリーニングを自分で実行できる唯一のプラグインです。アルゴリズムがサイト全体を一掃し、数分で駆除を完了させます。「自動クリーニング」ボタンを押すだけで、あとはプラグインが処理してくれます。

さらに重要なのは、MalCareのインテリジェントなアルゴリズムが、確実にマルウェアと断定できないものは削除しない点です。判断に迷う場合はプラグインが通知し、MalCareチームと協力してファイルを特定し、マルウェアを駆除します。

ハッキングされたWordPressテーマを手動でスキャン・駆除する

何らかの理由で自分自身でテーマハッキングのスキャンと駆除を行いたい場合は、以下の手順に従ってください。ただし、手動スキャンは時間がかかり、難易度も高めです。専門知識がない方には、手作業での対応は強くお勧めしません。

手動でスキャンと駆除を行うには、サイトのバックエンドにアクセスし、すべてのファイルを目視で確認する必要があります。

サイトのバックアップを取る

まず、WordPressサイトのバックアップを取りましょう。手動でのテーマ駆除はサイトを壊すリスクがあります。その際、バックアップが保険となり、サイトの復元に役立ちます。たとえハッキングされた状態でも、ゼロから作り直すよりはるかにましです。

クリーンなWordPressテーマをダウンロードする

最も一般的なスキャン方法は、バックエンドシステム内の不明なファイルやフォルダを特定することです。元のテーマに含まれていないファイルは、マルウェアの可能性があります。マルウェアを特定するには、WordPress公式ディレクトリにあるテーマのファイルと比較する必要があります。手順は以下の通りです。

• サイト上のすべてのテーマ(有効・無効両方)を書き留める
• 書き留めたテーマの正確なバージョンをWordPress公式ディレクトリからダウンロードする

テーマフォルダをクリーンアップする

テーマファイルの参照元が用意できたら、ファイルの比較を開始し、クリーンアップ作業に入ります。以下の手順に従って慎重に進めてください。

ステップ1:Webホストのアカウントにログインし、サイトのファイルを確認します。Filezillaが便利なツールです。

ステップ2:public_html > wp-content > themes へ移動します。

ステップ3:Filezillaで公式ディレクトリからダウンロードしたテーマを開き、サイト上のテーマと比較します。

ステップ4:余分なファイルが見つかったら、おそらくマルウェアです。

ステップ5:サイトから不明なファイルとフォルダをすべて削除します。

注意:不明なファイルがハッキングに関係していなかった場合、削除するとサイトが壊れる可能性があります。

サイトからバックドアを除去する

手動でスキャン・駆除するもう一つの簡単な方法は、一般的な悪意あるPHP関数を検索することです。これらの関数はしばしばバックドアとして機能し、ハッカーにサイト攻撃の足がかりを与えます。「base64」「eval」「stripslashes」「move_uploaded_file」などの関数は、感染ファイルの指標になることが多いです。

ただし、これらの関数はカスタムテーマやカスタムコードの一部として正当に使われることもあり、安易に削除するとテーマが動作しなくなる恐れがあります。

クリーンなテーマを再アップロードする

テーマファイルのクリーンアップが完了したら、WordPressサイトに再アップロードします。最も簡単な方法は、既存のテーマファイルを削除し、Filezillaでクリーンなファイルをアップロードすることです。このプロセスは、バックアップの手動復元と非常によく似ています。

最近変更されたファイルを確認する

ファイルマネージャーやFilezillaを使って、サイト上の最近変更されたファイルを確認できます。自分が変更していないのに最近修正されたファイルがあれば、その変更はマルウェアによるものである可能性があります。マルウェアはサイト上のファイルを改変するため、マルウェアを特定する良い手がかりになります。

ただし、この方法は簡単な反面、完全に正確ではありません。ハッカーはファイルのタイムスタンプを改ざんして、発見されにくくしていることがあるからです。

キャッシュをクリアする

キャッシュはサイトのコピーで、ユーザーがより速くサイトを読み込めるようにする仕組みです。しかし、サイトがハッキングされている場合、キャッシュされたバージョンにもマルウェアが含まれています。したがって、サイトからマルウェアを完全に除去するには、すべてのキャッシュをクリアする必要があります。

テーマが正常に機能することを確認する

クリーンアップ完了!ですが、手動クリーニングにはミスのリスクが伴うため、駆除後もテーマが正常に動作するか確認が必要です。サイト上のすべてのテーマを無効化し、その後一つずつ有効化しながら、通常通り動作するかテストしましょう。

セキュリティスキャナーで最終確認する

WordPressサイトのクリーニングが終わったら、作業が徹底していたことを確認したいはずです。セキュリティスキャナーを使えば、サイトがマルウェアフリーであり、問題が完全に解決したことを確認できます。

まだマルウェアが検出される場合は、セキュリティプラグインの導入か専門家の支援を受けて、テーマハッキングを完全に駆除する必要があるかもしれません。

今後のWordPressテーマハッキングを防ぐには?

今後のテーマハッキング防止には、主に3つのステップがあります。セキュリティのベストプラクティスに従うことは不可欠ですが、サイトの安全を確保するには、根本的な脆弱性を取り除く必要もあります。

セキュリティへの投資

まず取るべきステップは、もちろん予防的セキュリティへの投資です。ハッカーがコードに触れられなければ、ハッキングを心配する必要はありません。SSLの導入やHTTPSの使用など、堅牢なファイアウォールと包括的なセキュリティプロトコルを設定しましょう。

アクティビティログを使用・監視して、不正なアクティビティをできるだけ早く検知・捕捉します。最後に、定期的にセキュリティ監査を実施しましょう。

潜在的な脆弱性に常に目を光らせることで、ハッカーが攻撃する前に対処できます。大変な作業に思えるかもしれませんが、強力なプラグインを使えば、あなたがセキュリティを監督しなくても定期的に自動で行ってくれます。MalCareなら数分でインストールできます。

信頼できるテーマを使う

次のステップは、サイトにバックドアが存在しないことを確認することです。海賊版テーマには、バックドアが最初から仕込まれていることがよくあります。必ず評判の良いベンダーからWordPressテーマを購入しましょう。

もう一つの脆弱性の原因は、更新不足です。サイトを定期的に更新するのは時間がかかりますが、更新は不可欠です。脆弱性が発見されるたびに、パッチが適用され、更新を通じて公開されます。

パッチがダウンロード・インストールされていなければ、最も未熟なハッカーでも未修正のセキュリティホールを突破できます。ヌル化テーマは更新されないためパッチも適用できず、同様の問題を引き起こします。

チームを教育する

3つ目のステップは、ハッカーがソーシャルエンジニアリング手法で侵入できないようにすることです。バックエンドを扱う従業員に教育を行えば、「電話でパスワードを聞き出す」(実際に成功した事例があります)攻撃やフィッシング詐欺を防げます。

適切な訓練を実施すれば、対面でのハッキングの可能性も減ります。セキュリティポリシーの整備、セキュリティ文化の醸成、そして教育によって、あなたのサイトはほぼハッキング不可能になります!

まとめ

このWordPressテーマハッキングガイドが役に立ったと思ったら、必要としているかもしれないチームメンバーや友人、同僚にぜひ共有してください。WordPressテーマのセキュリティがどれほど重要かを認識している人は多くありません。周囲に伝えることで、きっと感謝されるはずです!

プラグインをインストールしてサイトのセキュリティを管理し、ハッカーがどのようにサイトを攻撃しうるかについて学びましょう。まずはブルートフォース攻撃に関する記事から始めることをお勧めします。

そして最後に、サイトのセキュリティを向上させた自分を褒めてあげましょう。あなたにはその価値があります!

よくある質問(FAQ)

WordPressテーマはハッキングされるのですか?

はい。信頼できないソースからWordPressテーマをダウンロードしたり、無料またはヌル化テーマを使用したりすると、ハッキングされる可能性があります。

サイトのテーマがハッキングされているかどうかは、どうやって確認できますか?

WordPressテーマのハッキングは、不正リダイレクト、サイト改ざん、ページの表示速度低下など、さまざまな症状を引き起こします。しかし、最も確実な確認方法はサイトのスキャンです。

なぜヌル化テーマを避けるべきなのですか?

ヌル化テーマには、攻撃者にサイトへのアクセスを許してしまう悪意あるコードやマルウェアが含まれていることがよくあります。信頼できるソースのテーマを使うのが最善です。

サイトのマルウェアを自分で駆除できますか?

はい、可能です。ただし、専門知識がない場合はサイトを壊してしまう恐れがあります。セキュリティプラグインを使った駆除を強くお勧めします。

なぜセキュリティプラグインが必要なのですか?

セキュリティプラグインは、専門家が膨大な研究開発を経て作成したものです。手作業でサイトをクリーニングするよりも、より徹底的かつ迅速に対応できます。