そのメールは突然やって来た
それは、突然やって来ました。
ある日、僕が使っているサーバーから、以下の文面のメールが届きました。
（※筆者の対訳付き）
「お客様のサーバーアカウントにおいて、サーバーに対する負荷が著しく高い状況を確認いたしました」
（筆者訳：使用中のサーバーに、異常な負担がかかっていました）
「お客様がご利用のプログラムに、セキュリティ上致命的なバグ（脆弱性）が存在し、脆弱性を第三者に悪用されてしまった可能性が非常に高い状況です」
（筆者訳：使用中のプログラムの弱点を突かれて何者かが悪さをしたようです）
「そのため、緊急措置としてWebアクセス制限を実施しました」
（筆者訳：緊急事態として、サーバー側でサイトにアクセスできないようにしました）
ん？何事だ？
第三者に悪用された？
アクセス制限？
さっそくそのサイトを見てみると、「403エラー」になっていてサイトが表示されません。
サーバーの言う通り、アクセスが制限されてサイトが見れない状態です。
このサーバーには12個のサイトがあるのですが、その12サイト全てが見れません！
どれもが、WordPress（ワードプレス）で作ったサイトです。
つまり、サーバーが言っている「お客様がご利用のプログラム」とは、WordPressのことだったのです。
ガガーン！！！
- そのメールは突然やって来た
- WordPressサイトの改ざん
- ターミネーターとなって削除する
- 日頃のWordPressバックアップの大切さ
- WordPressがどこまで汚染されているか、わからない
- 【反省】改ざんを予防する基本的対策
- 自動更新するプラグインを使う
- 日頃の基本的なセキュリティ対策を怠らない
WordPressサイトの改ざん
どうやら、WordPressの脆弱性（安全性上の弱点）をつかれて、サイトが改ざんされてしまったようです。
サーバーのメールには、次のように書かれています。
「サーバーにおいて、以下の不正なファイル（ウイルス、マルウェアなど）を検出いたしました」
マルウェアとは、不正で有害な動作させるために作られた、悪意あるソフトウェアや悪質なコードのことです。
そしてその下に、見たことのない40以上のファイルが列挙されています。
6flza8nmj.php
kdnx2u9mj.php
ly6fz9qpf.php
・・・etc.
全くでたらめなファイル名。
これらは、以前は存在しなかったファイルで、何者かによって不正に設置されたようです。
異変は、これだけではありません。
FTPソフト(※)でサーバーにアクセスして、もともとあったファイルの中を見てみると、正常だったファイルにも「 不正な記述」が書き込まれているものがありました。
これらの改ざんによって、いったい何が行われていたのか・・・
それは不明です。
一般によくあるケースとしては、自分のサイトが踏み台にされて、スパムメールを大量送信されるなどの被害などです。
自分が知らないこととはいえ、どこかの見知らぬサイトやメールに被害を与えていないだろうか？
それは・・・今はまだわかりません。
※FTPソフトとは、サーバーにファイルをアップロードしたり、サーバーからダウンロードするためのソフトです。
ターミネーターとなって削除する
どう対処するかですが、とりあえず、まずサイトを復旧しなければなりません。
今この時にも、12個のサイトは見れなくなっているのです。
僕は、サーバーのメールの指示に従ってドメインを初期化しました。
「初期化」というのは、最初の状態に戻すこと
つまり、改ざんされたサイトをサーバー上から根こそぎ削除することを意味します。
なぜ削除するのかというと、既にサイトは汚染されてしまっていて、もはやそのまま利用することができないからです。
そのまま再開したら、有害な動作が再発する可能性があります。
だから、一度完全に消去してしまうしかないのです。
この初期化作業、初めてやるにはちょっと勇気がいるかもしれません。
何しろ、間違えたら二度と元に戻らないからです（僕は初めてではありません）。
操作は、ボタンをクリックするだけ。
それで一瞬にして終わります。
だからこそ、ちょっと緊張するかもしれません。
こういうときには気持ちを切り替えて、自分がマシーンになったつもりで感情を捨て、冷静に進めます。
気を落としたままだったり、不安にとらわれていたら、気が散ってミスが起こり余計に時間がかかるだけです。
ターミネーターのアーノルド・シュワルツェネッガーを思い出してください。
自分がシュワちゃんになって、注意深く淡々とターミネートする（終わらせる）のです (^^;)
この投稿をInstagramで見る
日頃のWordPressバックアップの大切さ
WordPressなら、日頃からプラグインでバックアップをとっているかもしれませんが、
とっていない場合には、FTPソフトやファイルマネージャーで「今ある状態」をダウンロードしてパソコン上に保存（バックアップ）してから初期化の作業をします。
そうしないと、後で参照したり復元することができません。
※バックアップの前に、パソコンにアンチウイルスソフトなどをしっかり入れておいてくださいね！
さて、少し端折りますが、バックアップを取ってからドメインを初期化した後、僕はサーバーに連絡しました（ちなみに、データベースは無事です）。
エックスサーバー 
でしたが、土日にもかかわらずちゃんとメールで対応してくれました。
そして、危険なファイルがなくなったところで、サーバーによるアクセス制限が解除されました。
これで再び、サイトをアップロードできる状態になりました。
WordPressサイトですから、WordPressの再インストールになります。
※ここでは、細かい操作説明は省略します。
質問があれば、末尾のご案内でお気軽にLINEやメールをお送りください。
可能な限りお答えします。
WordPressがどこまで汚染されているか、わからない
この時注意が必要なのが、「バックアップしたファイルをそのままアップロードしてはならない」ということです。
なぜならば、バックアップ（ダウンロード）したファイルは既に汚染されている可能性があるからです。
汚染されたものを、そのまま再度アップすれば、改ざんが再発するかも知れません。
だから、もしバックアップファイルを使いたい場合には、ひとつずつファイルを開けて、異常がないかどうかをチェックしてからアップする必要があります。
これは、手間のかかる作業です。
今回は、このような地道なチェック作業も行って、12個のサイトは全て無事に復元できました（仕事の合間を縫って行ったため、数日かかりました）。
【反省】改ざんを予防する基本的対策
今回、改ざんされたサイトは全て自分のサイトだったので、実を言うと油断が生じていました (^^;)
他サイトではちゃんとやっている基本的な対策を、おろそかにしていました。
そもそもこの対策の甘さが、事故につながったのかもしれません。
そうした意味で恥ずかしい状況ではありますが 、今回改めて認識した予防対策（いずれも基本的な対策）を書き留めておきます。
「まだ対策をしていなかった！」という方は、是非参考にしてみてください。
【基本的な対策】
(1)複数のWordPressサイトで、同じID・パスワードの組み合わせを使わない
僕はやっていました (^^;)
すぐにログインできるように、複数のサイトで同じID・パスワードを使用していました。
これでは、敵に手の内を明かしている状態ですね。
面倒かもしれませんが、サイトごとにパスワードを変えましょう。
(2)WordPressのログインパスワードを、「できるだけ複雑なもの」にする
僕はやっていました (^^;)
記憶できるぐらい簡単なパスワードを、使っていました（恥）。
文字数の少ない簡略化したパスワードの使用は避けましょう。
(3)バックアップを取っておく
いつ何が起こるかわかりません。
プラグインを導入するなどで、WordPressサイトのバックアップは「必ず」とっておきましょう。
僕は、以下のプラグインを使ってGoogleドライブにバックアップを保存しています。
【知識】プラグイン「UpdraftPlus」でWordPressのバックアップと復元をする方法 | わかるWeb
(4)セキュリティのプラグインを入れる
WordPressには、必ずセキュリティのプラグインを入れましょう。
僕は「SiteGuard WP Plugin」というプラグインを使っています。
（ちなみに、改ざん前にこのプラグインは入れていました）
【危機管理】WordPressのセキュリティプラグイン教えて！ | わかるWeb > 「SiteGuard WP Plugin」
(5)WordPress本体、テーマ、プラグインのアップデートを、長期間放置して溜めこまない
実はこれが、今回の一番の反省点です。
僕はやっていました (^^;)
本体やプラグインのアップデートをしないまま、長期間放置していたのです。
アップデートしない状態のままだと、常にセキュリティ対策を進めているWordPress本体やプラグインの更新内容が生かされず、その虚を突いて外部から侵入され、改ざんされる可能性があるようです。
アップデートはマメに行いましょう。
ただ、サイトをたくさん持っている場合、めったに更新しないサイトに頻繁に訪れるのも困難なことです。
そこで、次の方法をご提案します。
自動更新するプラグインを使う
WordPress本体、テーマ、プラグインのアップデートを自動的に進めるプラグインがあります。
例えば「Easy Updates Manager」です。
※【追記】
この追記時点では、WordPressの本体機能として、テーマやプラグインを管理画面から簡単に自動更新の対象にする機能が付きました。ですので、Easy Updates Managerなどのプラグインを使うか、WordPressの本体機能を使うかを、検討してみてください。
僕は、こうした自動更新プラグインのことは知っていたのですが、これまではあえて導入していませんでした。
何故かというと、自動で行っても手動で行っても、アップデートしたさいにまれに不具合が起きることがあるからです。
不具合の原因は、その時々で違い、WordPress本体、テーマ、プラグインのどこに原因があるかはわかりづらいのですが、結果的に、サイトが表示されなくなったりすることもあるのです。
もし、自動更新のプラグインを入れたことで知らぬ間にそうなっていたら、
つまり、いつの間にかサイトが見れなくなっていたら、どうなるか。
めったに更新しないサイトでは、当分の間見れなくなっていることに気が付かないまま時が過ぎていくことでしょう。
だから、自動更新を避けていたのです。
ところが、今回のような改ざんがあると、自分のサイトだけではなく他サイトにも影響を与える可能性があり、非常に危険です。
同じサーバーで複数のWordPressサイトを運営しているケースはありますから、改ざんされたら、その後複数のサイトを復元することになり、大変に手間もかかります。
ですので、普段更新しないサイトについては、自動更新プラグインによって、最新の状態に保つ方が良いと思い直しました。
稀に、アップデートによって不具合をおこす可能性を秘めているとしても、改ざん防止になる可能性もあるからです。
※ただし、WordPressの子テーマを利用しているさいには、子テーマは自動更新の対象から外しておくべきです。
なぜなら、子テーマは多少なりともカスタマイズされている可能性があり、自動更新によって初期化されてしまう可能性があるからです。
この点は、十分にご注意ください。
日頃の基本的なセキュリティ対策を怠らない
WordPressサイトは大変便利ですが、同時に、不具合や改ざんの標的になる可能性も秘めています。
ですから、面倒に思わずに、日頃からできる対策は取っておきましょう。
今回のように、何か起こってからでは遅いです (^^;)
文中でも触れましたが、当記事の質問窓口をお知らせします。
当記事のことでもよいし、今回の件とは全く関係ない、WordPressやサイト作りのお困りごと、お悩みごとのご相談でもOKです。
連絡は、以下のいずれかでお願いします。
(1)LINE公式にてお問合せ下さい。
1対1トークのチャットですので、誰にも見られることなく安心してやり取りすることができます。
(2)または、こちらのフォームからお問合せ下さい。
https://wakaru-web.com/consultation/
ご一緒に困りごとを解決して、作業を進めていきましょう！
【お知らせ】
Kindle書籍を出版しました！
【初級者向け】ユーザーにクリックさせるキーワード満載のページタイトルの付け方！ (わかるWeb)
【概要】
「ページタイトルって重要なの？」
Webサイトを作るとき、ちょっと気になるけど、いつも適当に付けているページのタイトル。SEO対策でも重要だと言われるけど、いったいどういうページタイトルを付けたらいいの？
そんな初級者の方のための、かみ砕いたわかりやすい解説書です！
当書を読んだ後、あなたはすでに「ページタイトル名人」への一歩を踏み出しています。
【目次】
1.ページタイトルって何？
2.ユーザーが見るページタイトル
3.Googleが求めるページタイトル
4.表示されるページタイトルの文字数
5.では、どんなページタイトルをつければいいの？
6.クリックさせるタイトルとは？
7.ページタイトル付けは、慣れてきて研ぎ澄まされていく
8.疑問をそのままにせず、解決して先に進みましょう！
ご興味のある方は、是非ご購読ください！
ではまた次回！
当記事は「わかるWeb」のメールマガジンの記事を投稿しています。
「わかるWeb」のメールマガジンは好評配信中です！！
いつでも自由に解除できますので、一度是非登録してみてください！
こちらからどうぞ！
「わかるWeb」メルマガ登録
バックナンバーはこちらです。
（2つのサイトにまたがっています）
メルマガバックナンバー カテゴリーの記事一覧 - わかるLog
この記事が面白かった場合には、スターやブックマークをお願いします！
