WordPressサイトのSEOタイトルが「1800ForBail – One+Number」に書き換えられる不審なハッキングの実態

WordPressサイトで奇妙なハッキング被害が確認されています。多数のWordPressサイトにおいて、SEOタイトルやブログ名が「1800ForBail – One+Number」、あるいは単に「1800ForBail」と表示される事例が多発しています。現時点では大規模なブラックハットSEOキャンペーンのように見受けられますが、その背後にはより深刻な意図が隠されている可能性も否定できません。

Google検索結果では、実際に以下のように表示されます。

攻撃の詳細

この種の攻撃では、ハッカーがWordPressの標準設定である「blogname(ブログ名)」を書き換え、任意のキーワードやタイトルを表示させます。これは、被害を受けたサイトのHTMLページを解析することでも確認できます。以下は、今回のハッキングに関わる悪意のあるHTMLコードです。

<meta property="og:title" content="Home - 1800ForBail" />

<meta property="og:url" content="hxxps://deliverygoodstrategy[.]com/destiny?tt=2&/" />

<meta property="og:site_name" content="1800ForBail" /

攻撃者がこれらのHTMLコードを改ざんできた原因は、プラグインの脆弱性にあると考えられます。被害サイトの大多数は、古いまま放置されセキュリティパッチが適用されていないプラグインやテーマを使用していました。過去のサイトURL改ざん攻撃で犯行に利用されたことが判明している主なプラグイン・テーマには、WordPress GDPR Compliance、TagDivテーマ、Freemius Library(およびこれを利用するすべてのプラグイン)、Convert Plusなどがあります。

類似する過去の攻撃事例

今回の「1800ForBail」ブログ名改ざん攻撃は、過去に確認された事例と非常によく似ています。例えば、日本語SEOスパムや韓国語SEOスパムと呼ばれる攻撃では、ハッカーがサイトのURLを改ざんし、日本語や韓国語のキーワードを検索結果に表示させることで、自サイトへの露出を不正に高めていました。

また、「サイトURL攻撃(Site URL attack)」とも類似しています。この攻撃手法では、ハッカーが乗っ取ったサイトのURL設定を自身のドメインに変更し、サイト訪問者を自分の管理するドメインへリダイレクトすることを目的としています。

効果的な対策方法

サイトをこの悪夢のような状態から復旧させるには、まずWordPress管理画面から「サイトのタイトル(Blog title)」設定を正しい値に修正してください。あるいは、データベースのwp_optionsテーブル内にある「blogname」オプションを直接書き戻すことでも対応可能です。さらに、今回のトラブルの多くが古く脆弱なプラグインやテーマに起因しているため、それらを常に最新の状態に保つことが最も確実な予防策となります。

加えて、信頼性の高いプレミアムWebサイト保護サービスを導入しておけば、こうした改ざん攻撃に対する耐性を大幅に高めることができます。万が一「1800ForBail」攻撃の被害を受けてしまった場合は、お気軽にご相談ください。専門スタッフがサイトの迅速な復旧を全力でサポートいたします。