WordPressサイトがハッキングされスパムメールを送信する問題の完全ガイド:症状・原因・検出・駆除方法

WordPressは、オンラインコンテンツ管理において最も低コストで手軽なソリューションのひとつです。長い歴史を持ち、現在ではウェブ上の多くのサイトを支えています。しかしその人気ゆえに、WordPressは世界で最も攻撃対象となりやすいCMSのひとつでもあります。その結果、「WordPressがハッキングされ、顧客にスパムメールを送信してしまう」という被害の相談が後を絶ちません。スパム送信被害は、サイトの評判を長期的に損なう可能性があるため、対処は非常に重要です。

本記事では、WordPressがハッキングされてスパムを送信する事例と、その具体的な対処方法について詳しく解説します。

WordPressハッキングによるスパム送信:主な症状

ハッキングによるスパム送信は、発見までに数時間〜数日かかることがあります。これは、スパムメールがネットワーク上に拡散するのに時間がかかるためです。ただし、以下のような兆候があれば、攻撃を受けている可能性を疑えます。

• サーバーを監視するオンラインサービスがスパムを検知し、あなたのIPアドレスをブラックリストに登録する。その結果、正規のメールまでもが受信者の迷惑メールフォルダに振り分けられてしまう。
• Googleなどの検索エンジンから、スパム送信サイトとしてペナルティを受ける。
• MTA(メール転送エージェント)キューに大量のスパムが蓄積し、サイトの動作が極端に遅くなる。
• ログに大量のエラー、特にメール配信失敗のメッセージが記録される。
• ISP(インターネットプロバイダ)から大量の外向きスパムに関する警告を受ける。
• サイトの帯域幅を異常に消費するようになる。
• 「MTA Queue is too large!(MTAキューが大きすぎます!)」といった警告メッセージが表示される。

WordPressハッキングによるスパム送信:原因

マルウェア感染

スパム送信の原因のひとつがマルウェア感染です。ハッカーは悪意のあるスクリプトをWordPressサーバーへアップロードしようとします。これらのスクリプトはSMTPメールサーバーとの接続を確立し、スパムを大量送信します。多くの場合、こうしたマルウェアはBase64エンコードを使ってスパムメッセージを作成・難読化することで、検出を逃れようとします。

コーディング上の脆弱性

SQLインジェクション(SQLi)、XSS、RCE(リモートコード実行)などの脆弱性も、スパム送信被害につながる要因です。攻撃者はこれらの脆弱性を突いてサイトを乗っ取り、正規のファイルに悪意あるコードを注入します。index.php、functions.php、themes.phpなどのファイルが改ざんされ、スパム送信に利用されるケースが典型例です。

関連ガイド:WordPressマルウェア除去の方法

サーバーの脆弱性・設定ミス

サーバーの設定ミスも、攻撃者にサイトを悪用される原因となります。たとえば、SMTP接続にポート25を使用していると、スパマーの標的になりやすくなります。一部のISPはポート25をブロックしているため、代わりにポート587を使用しましょう。また、レンタルサーバーなどでウェブスペースを共有している場合、他サイトへのマルウェア感染が波及するリスクもあります。これを防ぐにはサブネット化の活用が有効です。さらに、ディレクトリインデックスの有効化や不要なポートの開放なども、スパム送信被害につながる設定ミスとして挙げられます。

WordPressハッキングによるスパム送信:検出方法

スパム送信の原因は、多くの場合、悪意のあるPHPスクリプトです。このスクリプトを特定・削除できれば、スパム送信も停止します。ここからは、管理者権限でサーバーにログインできることを前提に、具体的な手順を紹介します。

ステップ1:管理者権限の取得

まず、サーバーに管理者権限でログインし、外向きメールをキャプチャできる状態にします。

ステップ2:ログファイルの作成

スパムメールを記録するためのログファイルを作成します。以下のコマンドを実行してください。

touch /var/log/phpmail.log

作成したphpmail.logファイルが書き込み可能であることを確認します。次のコマンドで権限を付与します。

chown httpd:httpd /var/log/phpmail.log

ステップ3:Apacheサーバーの再起動

ログファイルの準備ができたら、以下のコマンドでApacheサーバーを再起動します。

service httpd restart

ステップ4:送信メールのキャプチャ

以下のコマンドで、送信メールをログファイルに記録できます。

tail -f /var/log/phpmail.log

tailコマンドの-fオプションにより、すべてのログデータがphpmail.logファイルに保存されます。ログの内容から、どのファイルがスパムメールを送信しているかを特定できます。多くのケースでは、感染したfunctions.phpファイルが犯人であることが判明します。これでスパム送信スクリプトの特定は完了です。次は駆除作業に移りましょう。

関連ガイド:WordPressハッキング被害からの復旧方法

WordPressハッキングによるスパム送信:クリーンアップ(駆除)

スクリプトを特定したら、ファイルを開いてコードを確認します。攻撃者は通常、Base64エンコードやFOPOなどの手法を使ってコードを隠蔽しています。一見すると解読不能な文字列に見えるでしょう。

しかし、このコードをデオブファスケート(難読化解除)すると、中身が明らかになります。多くの場合、文字列をPHPコードとして実行するeval()関数が、スパム送信のために悪用されています。

eval()関数の乱用はコード品質の低下にもつながるため、該当する悪意あるコードはすべて削除しましょう。コードの動作が不明な場合は、無理に削除せず、その行をコメントアウトしたうえで専門家にマルウェア除去を相談するのが安全です。また、感染ファイルを削除してクリーンなファイルと入れ替える方法もあります。ただし、.htaccessなどサーバー動作に不可欠なファイルもあるため、操作には十分注意してください。

クリーンアップ完了後は、サーバーが再送しようとしているMTAキュー内の残存スパムメッセージをすべて削除します。以下のコマンドで実行できます。

sudo postsuper -d ALL

sudo postsuper -d ALL deferred

WordPressハッキングによるスパム送信:予防策

再発防止には、Astraのようなセキュリティソリューションの導入が効果的です。Astraは24時間365日、トラフィックを常時監視し、あらゆる種類の内外スパムをブロックします。月額25ドルから利用できる価格設定のため、個人ブログでも導入しやすい点が魅力です。WordPressおよび類似CMS向けに特別に設計されたAstraなら、スパムの除去と防御をまとめて実現できます。