WordPressテーマハックとは?主な被害と削除・対策方法を徹底解説

WordPressのテーマはどのくらいの頻度で変更していますか?「WordPressテーマハック」という言葉を目にしたことはありますか?実は、WordPressのテーマがWebサイトのセキュリティ侵害の原因になり得ることをご存じでしたか?この記事では、WordPressテーマハックに関するこうした疑問にお答えし、テーマハックを取り除く具体的な方法についても解説します。

WordPressセキュリティに関する記事をもっと読みたい方は、Astra Securityの「WordPress Security」をご覧ください。

WordPressテーマとは?

WordPressテーマとは、テンプレートとスタイルシートで構成されるファイル群のことです。WordPressサイトの外観や表示方法を定義する役割を担っており、WordPress管理画面から自由に追加・編集・管理が可能です。テーマはサイトのコンテンツを受け取り、ブラウザ上に表示します。

しかし競争が激化する中で、WordPressサイトを運営する企業は集客力を高めるためにテーマを頻繁に更新しがちです。その焦りから、信頼できないソースからプレミアムテーマをダウンロードしてしまうことがあります。そうしたテーマには、バックドアを作成するためのバグが仕込まれている場合があります。最後にインストールしたプレミアムテーマに、悪意あるIPアドレスへの暗号化されたリンクや不正なハイパーリンクが含まれていても、気づかないのが実情です。その結果、WordPressサイトはインターネット上の攻撃者にとって格好の標的となってしまいます。

関連記事:WordPressバックドアハックとは?原因と対処法を解説

こうしたテーマが原因でWordPressサイトが乗っ取られるケースも少なくありません。それでは、WordPressテーマハックの主な症状を見ていきましょう。

WordPressテーマハックによる5つの被害

Woo、Elegant、Studiopress、Wp-NowなどのプレミアムWordPressテーマの海賊版は、さまざまなサイトから簡単にダウンロードできます。セキュリティのベストプラクティスを知らない人は、それらを無防備にダウンロードしてしまいがちです。「サイトが華やかになり、アクセスが増えるだろう」と満足するかもしれませんが、海賊版テーマを使用した場合、以下のような深刻な事態に直面することになります。

1. Webサイトの改ざん(デフェイス)

テーマハック後に最も目立つ影響は、サイトの改ざんです。Webページに社会的・政治的なメッセージが勝手に表示されることがあります。場合によっては、データベース自体が改ざんされることもあります。多くの場合、これはハクティビスト(ハッキング活動家)によるものであり、機密情報や個人情報を盗み出して公開することを目的としています。また、ヘッダーやフッターに無関係な広告が表示される形での改ざんも発生します。

関連記事:WordPressサイトの改ざんを復旧させる方法

2. ページの読み込みが極端に遅くなる

読み込みに時間のかかる遅いWebサイトを、顧客は閲覧したいと思うでしょうか?当然、快適に動作するサイトの方を選ぶでしょう。ハッカーはWordPressテーマハックを利用してサイトに侵入し、そのサーバーリソースを使って海賊版映画やフリーウェアを保存します。これらの違法ファイルがサーバー上で実行されることでリソースが消費され、サイトの動作が著しく遅くなります。表示が遅くなると「Page Not Found」エラーが頻発し、オーガニックトラフィックの減少につながります。さらにSEOにも悪影響を及ぼし、検索エンジンのランキング低下を招きます。

3. WordPressサイトのクラッシュ

WordPressサイトがクラッシュする原因は複数ありますが、テーマの更新が頻繁すぎることも一因となります。プレミアムテーマの読み込み時に悪意のあるコードが実行され、サイトのリソースを瞬時に使い果たすことでクラッシュが起こることがあります。

関連ガイド:WordPressマルウェア除去の完全ガイド

4. 他サイトへの強制リダイレクト

攻撃者はブラックハットSEOを行い、WordPressテーマの脆弱性を悪用してサイトの訪問者を自分たちのサイトへ強制的にリダイレクトさせることがあります。トラフィックを奪われるだけでなく、サイトのオンライン上の評判にも悪影響を与え、SEO評価が急落する可能性があります。

関連記事:WordPressサイトが不正リダイレクトされたときの復旧方法

5. 検索エンジンによるブラックリスト登録

WordPressテーマハックを受けると、サイトにマルウェアが存在することになります。Googleなどの検索エンジンは安全なウェブ閲覧環境を推進しているため、感染したサイトを発見すると即座にブラックリストへ登録します。その結果、サイトの評判が低下し、最大95%ものオーガニックトラフィックを失う恐れがあります。さらに、ホスティングプロバイダーによってアカウントが停止される二次被害に遭うこともあります。

関連記事:Google・McAfee・Bing・Yandex・Norton・MalwareBytesによるブラックリスト登録の意味とは

WordPressテーマハックの削除方法

ここまで、破損したWordPressテーマをインストールすることの危険性を解説しました。信頼できないソースからのプレミアムテーマ導入というミスは絶対に避けましょう。続いて、テーマハックの影響を取り除くための具体的な対策を紹介します。作業を始める前に、必ずファイルとデータベースのバックアップを優先的に取得し、安全な復元ポイントを確保してください。そのうえで、ハッキングされたサイトの駆除作業に進みます。

方法1: 手動でテーマハックを駆除する

テーマフォルダの中身を確認する

通常、悪意のあるテーマはマルウェアをサイトに注入します。WordPressルートディレクトリの/wp-content/themes/フォルダやuploadsフォルダ内を確認しましょう。サイト上のテーマフォルダの中身を、公式で公開されているオリジナルのディレクトリと比較してください。見覚えのないPHPファイルや余分なフォルダがあれば、それらが削除対象です。

不審なPHP関数をチェックする

一部のPHP関数は悪用される可能性があります。「base64」「eval」「striplashes」「move_uploaded_file」などの関数が使われていないか探してみましょう。サーバーのターミナルでgrepコマンドを使用すれば、これらの関数が含まれるファイルを効率的に特定できます。これらの関数自体はテーマの正常な構成要素であることもありますが、トロイの木馬のように、いつ悪用されるかわかりません。

アクセスログとファイルの変更履歴を確認する

サーバーへのSSHアクセスがある場合は、以下のコマンドで直近数日間に変更されたファイルをすべて確認できます。

find <directory_path> -mtime -<no_of_days> -ls

何日前からの変更を分析するかを指定できます。コマンドを実行すると、指定したディレクトリ内の指定日以降に変更されたファイルがすべて検索されます。ベストプラクティスとしては、日数を徐々に増やしながら、いつからファイルが改変され始めたのかを特定することです。自分で変更を行った覚えがないのであれば、その変更はハッカーによるものだと判断できます。

関連ガイド:WordPressハック除去の完全ガイド

方法2: セキュリティサービスを利用して駆除する

WordPressテーマハックから保護するために導入できるセキュリティプラグインは多数存在します。その一つがAstra Web Securityが提供するソリューションです。

Astraは24時間365日サイトを守るWebアプリケーションファイアウォール(WAF)です。SQLi、悪質なボット、XSS、CSRF、OWASP Top 10をはじめとする100以上の脅威を自動的にブロックします。動的かつ堅牢なファイアウォールであり、あらゆるマルウェアの侵入からWordPressサイトを守ります。万が一、破損したテーマをインストールしてしまうといった人的ミスが発生した場合でも、被害が及ぶ前に迅速に対処し、サイトを保護します。Astra WAFを導入すれば、WordPressサイトのセキュリティとテーマハックを心配する必要はなくなります。

まとめ

プレミアムWordPressテーマの価格は20〜30ドル程度から購入できます。テーマハックによるデータ侵害やセキュリティインシデントからの復旧にかかる膨大なコストと比べれば、決して高い金額ではありません。サイト運営者には賢明な選択が求められます。正規のプレミアムテーマに投資するか、感染サイトによる損失を被るか。WordPressサイトは自由にカスタマイズでき、さまざまなテーマで個性を演出できます。しかし、サイトのセキュリティを犠牲にしてまで行うのは愚かな選択です。

この記事では、WordPressサイトが侵害されるもう一つの手法について解説しました。テーマハックは非常に気づきにくいため、発見したときには深刻な被害になっていることも少なくありません。感染したテーマの手動クリーニング手順と、Astra Web Application Firewallによる効果的なサイト保護の活用法をぜひ参考にしてください。