Webサイトがハッキングされた15の兆候｜WordPress・Magento・Drupal・OpenCart・PrestaShop運営者必見

多くのサイト運営者は、Googleの「赤い警告画面（Red Screen of Death）」を目にした瞬間や、顧客からの指摘を受けて初めて、自分のWebサイトがハッキングされたことに気づきます。これは非常に危険な状態です。なぜなら、サイトはすでに長期間感染しており、ブランドの評判や顧客データのプライバシーに深刻なダメージを与えている可能性があるからです。

現在、Webサイトはあらゆるビジネスの中核となっています。EC取引、顧客データの管理、マーケティングなど、ビジネスのほぼすべてを担っています。それにもかかわらず、開発段階でセキュリティ対策が軽視され、結果としてハッキング被害に遭うケースは後を絶ちません。セキュリティ業界にはこんな格言があります。

ホスティング環境や開発チームの規模、HTTPSの有無にかかわらず、適切なセキュリティ対策がなければ、すべてのWebサイトはハッキングの脅威にさらされています。セキュリティは継続的なプロセスであり、「100%安全」は幻想にすぎません。私たちAstraは、顧客に対して予防的なセキュリティ対策を強く推奨し、あらゆるハッキングシナリオへの備えをサポートしています。

本記事では、あなたのWebサイトがハッキングされているかもしれない兆候を15個ご紹介します。

Webサイトがハッキングされた15の兆候

1. Google Chromeなどのブラウザで警告画面が表示される

顧客（または自分自身）がGoogle Chromeでサイトにアクセスした際、「このサイトはハッキングされている可能性があります」といった警告メッセージが表示される場合は、実際にハッキングされている可能性が高いです。この警告は、サイトがGoogle Safe Browsingのブラックリストに登録されたときに表示されます。

Google Chrome、Mozilla Firefox、Safari、Operaといった主要ブラウザは、Googleのブラックリストを利用して訪問者に警告を表示しています。表示内容はGoogleが検出した問題によって異なりますが、おおむね以下のような警告です。

2. Google Search Consoleから「ハッキングまたはマルウェア検出」の通知が届く

WebサイトをGoogle Search Console（旧Googleウェブマスターツール）に登録している場合、ハッキングが検出されるとGoogleからメッセージとメールで通知が届きます。これは、Googleが悪意のあるコードやスパムコンテンツを検出したか、サイトが侵害されたと判断する合理的な根拠を持っていることを意味します。ソーシャルエンジニアリングコンテンツの修正方法や、不承認となったGoogle広告の再アクティブ化については、詳細な解説記事をご覧ください。

通常、通知には疑わしいURLや攻撃経路の詳細が記載されています。このガイドの後半では、こうした通知を受け取った際の対処法についても解説します。

3. ホスティング会社によってサイトが停止させられる

ホスティング会社は定期的にサーバー内の悪意あるコードをスキャンしており、感染拡大を防ぐため、ハッキングされたサイトを即座に停止することがあります。ホスティング会社がサイトを停止する理由は多岐にわたります。主な例は以下の通りです。

• サーバー上でマルウェアコードが検出された
• ドメインがGoogle、Norton Safe Web、Spamhausなどにブラックリスト登録された
• サーバーからスパムメールやフィッシングメールが送信されている
• 悪意あるコードの実行によりCPU使用率が異常に高い

GoDaddy、HostGator、Hostingerなどでアカウントが停止された場合の原因と解決策については、詳細な解説記事をご参照ください。

4. 送信ポート80、443、587、465がブロックされている

場合によっては、ホスティング会社はサイトを完全に停止させる代わりに、リソースを制限することがあります。GoDaddy、HostGator、BigRockなどは自動システムにより、アカウントの送信ポート80、443、587、465への接続をブロックします。これはマルウェア感染の封じ込めと、サーバーからのスパム送信防止を目的としたセキュリティ措置です。

悪意のあるファイルがサーバーから隔離され、自動ウイルススキャナーでの検査に合格すれば、ブロック解除を申請できます。

5. 顧客からクレジットカード不正利用の苦情が寄せられる

近年、ハッカーは高度な手法を使って、サイトに入力または保存されたクレジットカード情報を収集しています。盗まれたカード情報はインターネット上で売買され、1ドルから1,000ドル以上まで、さまざまな金額の不正取引に使われます。

この種の攻撃は標的型であり、ECストアのセキュリティ脆弱性が原因で発生します。Magento、OpenCart、PrestaShopなどのCMSを使用している場合、インストール済みプラグインのいずれかに重大なセキュリティ欠陥が含まれている可能性があります。

関連記事：Magento・OpenCart・WooCommerceにおけるクレジットカードハッキング

6. 送信したメールがスパムフォルダに振り分けられる

ハッカーは乗っ取ったサイトのマルウェアを利用して、大量のスパムメールを送信することで知られています。こうしたスパム行為により、世界中のメールサーバーがあなたのサーバーやIPアドレスをブラックリストに登録してしまうことがあります。その結果、正当なメールまでもが受信者のスパムフォルダに振り分けられます。スパムフォルダに入ったメール1通1通が、ビジネスチャンスとオンライン上の評判の損失につながります。

7. サイトのコードに見慣れないJavaScriptが含まれている

ページのソースコードに、見慣れない、難読化された、暗号的なJavaScriptコードを見つけたら、すぐにコメントアウトしましょう。そのコードはパスワード、クレジットカード情報、その他の機密性の高い顧客情報を盗むために使われている可能性があります。また、訪問者を悪意あるサイトへリダイレクトしたり、ポップアップや広告を表示させたりする目的でも使われます。

当社のセキュリティ研究者は最近、多数のハッキングされたMagentoストアで悪意のあるjQueryコードを発見しました。この小さなコード断片は、チェックアウトページでクレジットカード情報を悪意あるサーバーへ送信します。同様の問題に直面している場合は、クレジット/デビットカードマルウェアハッキングに関する詳細記事をご確認ください。

8. サイトが極端に遅くなり、エラーメッセージが表示される

サイトが突然極端に遅くなり、エラーメッセージが表示されるようになった場合、マルウェアがサーバーリソースを消費している可能性があります。特に狙われやすいのは、チェックアウト、決済、ログイン、サインアップの各ページです。通常4秒で読み込めるページが10秒以上かかるようなら、何かが異常です。

9. エラーログに予期しないエラーメッセージが記録されている

エラーログには、非推奨関数、未定義のオフセット、接続拒否など、予期しないメッセージが頻繁に現れます。ファイルパスやエラー内容に見覚えがない場合は、コードの正当性を確認するか、マルウェアスキャンを実行してください。よく見られるエラーメッセージの例は以下の通りです。

• PHP Deprecated: Function ereg_replace() is deprecated in /home/xxxxxxxx/public_html/js/extjs/resources/images/magento/grid/kala.php(1) : eval()'d code on line 1
• PHP Notice: Undefined index: _upl in /home/xxxxxxxx/public_html/index.php on line 64
• PHP Fatal error: require_once(): Failed opening required '/home/xxxxxxxx/public_html/js/shell.php
• PHP Parse error: syntax error, unexpected 'if' (T_IF) in /home/xxxxxxxx/public_html/js/index.php on line 40

10. 自分が作成していない管理者ユーザーやFTPアカウントが見つかる

知らない管理者ユーザー、データベースユーザー、FTPユーザーが見つかったら、ハッキングの確かな証拠です。ハッカーはサイトとサーバーへのアクセスを維持するため、特権アカウントを残します。こうしたアカウントはバックドアとして機能し、ハッカーはいつでも好きなときにサイトへアクセスできます。

WordPress、Magento、OpenCart、Joomlaなど各CMSの管理画面を保護する方法については、詳細な解説記事をご覧ください。

11. ファイルが最近変更されている

コアシステムファイルが最近変更されていたら、以前のバージョンと比較して何が変わったのかを確認しましょう。攻撃者がファイルを改ざんし、悪意あるコードを実行したり、スパムメールを送信したり、バックドアを作成したりしている可能性があります。

また、怪しげなファイル名のファイルや、アップロードディレクトリ内にサーバーサイドスクリプト（.php、.aspx、.pyなど）が存在する場合も、ハッキングの強い兆候です。

関連記事：ハッキングされたWordPressファイルの特定と修復方法

12. サイト訪問時に広告やポップアップが開く

サイト訪問者にスパム広告やポップアップが表示される場合、クロスサイトスクリプティング（XSS）や悪意あるコード注入によってサイトが侵害されている可能性があります。ハッカーは広告表示回数から利益を得ています。Google Safe Browsingチームから、サイト上でソーシャルエンジニアリングコンテンツが検出された旨のメールが届くこともあります。

13. サイトがハッキングされた別のサイトへリダイレクトされる

これもクロスサイトスクリプティングやサーバーサイドコード改ざんの兆候です。ハッカーはあなたのトラフィックをフィッシングページ、侵害されたサイト、さらには競合他社のサイトへリダイレクトできます。

14. 存在しないページにアクセス急増（トラフィックスパイク）が発生する

ハッカーは乗っ取ったサイトを「スパム広告（spamvertising）」に利用し、トラフィックの急増を引き起こします。ハッカーが作成した既存または新規ページへのリンクを含むスパムメールが、あなたのサーバーから送信されるのです。「spamvertising」は「spam（スパム）」と「advertising（広告）」を組み合わせた言葉です。

スパム広告は、ブログ、Webサイト、フォーラム、コメント欄にハイパーリンクを大量投稿することで、ハッカー自身のサイトの検索エンジン順位を上げるために使われます。

15. .htaccessファイルに不明なコードやリダイレクト設定がある

悪意あるリダイレクトの多くのケースでは、.htaccessファイルが改ざんされ、リダイレクトコードが注入されています。これは、ハッカーがサイトファイルに仕掛けた「バックドア」を通じて行われることがあります。主な症状は以下の通りです。

• サイトが真っ白なページを表示し、読み込まない
• サイトが悪意あるWebサイトへリダイレクトされる
• サイトがGoogleへリダイレクトされる
• Googleからサイトにアクセスできない
• .htaccessファイルが繰り返し書き換えられる

ハッキングを疑ったときの対処法

1. VirusTotal.comでサイトをスキャンする：VirusTotalはGoogleが支援する優れたツールで、70以上の主要ブラックリストおよびマルウェア検出エンジンに同時スキャンを依頼し、サイトがハッキングされているかどうかを確認できます。

2. Google Safe Browsingのサイトステータスページでブラックリスト状況を確認する：URL末尾の「getastra.com」を自分のサイトのURLに置き換えるだけで、Googleにおけるサイトのブラックリスト状況を確認できます。ハッキングの詳細と修正手順も表示されます。

3. サイトへのアクセスを無効化する：深刻な被害が発生し、顧客にハッキングが知られる前に、サイトをメンテナンスモードに切り替え、許可されたユーザーのみアクセスできるようにしましょう。.htpasswdを設置することで実現できます。

4. cPanelのウイルススキャナーを実行する：多くのホスティングプロバイダーは、cPanelダッシュボードに自動ウイルススキャナーを備えており、既知のマルウェアを検出できます。これらのスキャンは基本的な検索を行い、感染ファイルの特定に役立ちます。ただし、これらのスキャナーはハッキングの原因までは特定できず、再感染を防ぐことはできませんので注意が必要です。

5. Webアプリケーションファイアウォール（WAF）でサイトを保護する：Astra Web Protectionのようなファイアウォールでサイトを保護すれば、今後のハッキングを防ぎ、サイトの安全性を確保できます。WAFはサイトへの流入トラフィックを監視し、悪意あるリクエストをブロックします。Astraなら、戦略的に配置した「 honeypot（ハニーポット）」等の高度な手法により、悪意あるボットや自動化セキュリティツールもブロックできます。

6. プロフェッショナルによるマルウェア除去サービスを利用する：セキュリティ専門家に依頼して、ハッキングされたサイトのマルウェア除去を行ってもらうことも有効です。