マルウェアは、Webサイトやサーバーに不正な動作をさせたり、情報を盗んだりする悪意あるソフトウェアの総称です。
WordPressサイトでは、脆弱性を悪用されたり、管理者アカウントを乗っ取られたりして、不正なPHPファイルやJavaScriptを設置されることがあります。感染すると、ページ改ざんだけでなく、訪問者を危険なサイトへ転送したり、迷惑メール送信や別サイトへの攻撃に悪用されたりする可能性があります。
30秒でわかる結論
- マルウェアは、情報窃取・改ざん・不正送信などを行う悪意あるソフトウェアの総称
- Webサイトでは不正ファイル、JavaScript挿入、バックドア、Webシェルなどの形で入り込むことがある
- 主な侵入経路は、古いWordPress・テーマ・プラグイン、弱い認証情報、管理PCの感染など
- 被害はサイト改ざん、情報漏えい、別サイトへの転送、迷惑メール、不正アカウント作成など
- 感染が疑われたら、むやみにファイルを消す前に被害拡大を止め、ログ・バックアップ・変更履歴を確認する
- 復旧では「見える不正ファイルだけ削除」で終わらせず、侵入経路も塞ぐ
- 予防の基本は更新、強い認証、WAF、バックアップ、ファイル監視、管理PCの安全確保
マルウェアとは？
マルウェアは「malicious software」の略で、利用者やシステムへ害を与える目的で作られたソフトウェアの総称です。
ウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェアなども広い意味ではマルウェアに含まれます。
Webサイトでは形が少し違う
Webサイトのマルウェアは、PC用アプリのように見えるとは限りません。不正なPHPファイル、改変されたJavaScript、見覚えのない管理者アカウント、バックドアなどとしてサーバー内に潜むことがあります。
Webサイトにマルウェアが入るとどうなる？
| 被害 | 具体例 |
|---|---|
| ページ改ざん | 本文やリンクを書き換えられる |
| 不正転送 | 訪問者を別サイトへ飛ばす |
| 情報窃取 | ログイン情報や入力データを盗む |
| 迷惑メール送信 | サーバーをスパム配信に使われる |
| 不正アカウント作成 | 管理者権限のユーザーを追加される |
| 他サイト攻撃 | サーバーを攻撃の中継点として使われる |
| SEOスパム | 不審なページやリンクを大量生成される |
WordPress公式も、侵害の兆候として「検索エンジンから危険サイト扱いされる」「ホスティング会社から停止される」「マルウェア配布サイトとして警告される」「不審なユーザーが追加される」などを挙げています。
マルウェアとWebサイト改ざんの違い
マルウェア感染とWebサイト改ざんは関連しますが、同じ意味ではありません。
| 用語 | 意味 |
|---|---|
| マルウェア感染 | 悪意あるコードやファイルがサーバー内へ入り込む状態 |
| Webサイト改ざん | ページ・ファイル・設定などを第三者に不正変更されること |
マルウェアによってサイトが改ざんされることもあれば、不正ログインした攻撃者が直接内容を書き換えることもあります。
Webサイト改ざんそのものは、別記事「Webサイト改ざんとは？原因と対策を解説」で詳しく扱います。
主な侵入経路1．古いWordPress・テーマ・プラグイン
Webアプリやプラグインに脆弱性が残っていると、攻撃者に悪用され、不正ファイルを書き込まれる場合があります。
IPAも、Webサイトの脆弱性や運用管理の不備によって、情報漏えい・改ざんなどの被害が起こると注意喚起しています。
基本対策
- WordPress本体を更新する
- テーマを更新する
- プラグインを更新する
- 使っていないプラグインを削除する
- 開発終了・放置された製品を使い続けない
主な侵入経路2．管理者アカウントの乗っ取り
パスワードの使い回しや漏えい、ブルートフォース攻撃などで管理者アカウントへ不正ログインされると、攻撃者にファイル追加や設定変更を許す場合があります。
認証対策
- 長く推測されにくいパスワードを使う
- 他サービスと使い回さない
- 二要素認証を使う
- 不要な管理者アカウントを削除する
- 退職者・外注先のアカウントを残さない
主な侵入経路3．管理者PCの感染
WordPress側を安全にしていても、管理者が使うPCにマルウェアやキーロガーが入っていれば、ログイン情報を盗まれる可能性があります。
WordPress公式も、管理に使うPCをマルウェアやスパイウェアのない安全な状態に保つことを重視しています。
サイトだけ守っても不十分
PCのOS・ブラウザ更新、不審ソフトを入れない、共有PCで管理画面へログインしない、といった端末側の対策も必要です。
主な侵入経路4．信頼できないテーマ・プラグイン
非公式サイトから入手したテーマやプラグインには、不正コードが含まれている可能性があります。
WordPress公式も、プラグインやテーマはWordPress.orgや信頼できる開発元から入手するよう推奨しています。
入手元を確認
- WordPress.org公式ディレクトリ
- テーマ・プラグイン開発元の公式サイト
- 契約している正規サービス
Webサイト感染で起きやすい症状
気づきやすい兆候
- 知らないページが増えている
- 検索結果に不審なページが出る
- 別サイトへ勝手に転送される
- 管理者アカウントが増えている
- ファイル更新日時が勝手に変わっている
- レンタルサーバー会社から警告が届く
- Googleなどから危険サイト警告が出る
- メール送信量が急増している
- CPU負荷が突然高くなっている
症状が見えない感染もある
訪問者の一部だけを転送する、検索エンジン経由だけ不正表示するなど、管理者が普通にサイトを見るだけでは気づきにくいケースもあります。
感染が疑われたときの初動
感染が疑われても、いきなり不審ファイルを全部削除するのはおすすめできません。
必要に応じて公開停止・アクセス制限
現在状態も含めて保存
法人サイトは専門家・ホスティング会社へ早めに相談
個人情報や顧客データを扱うサイト、感染範囲が分からないサイトでは、自己判断で復旧を進める前にホスティング会社やセキュリティ専門家へ相談してください。
「不正ファイルを削除しただけ」では不十分
見つけたマルウェアを削除しても、侵入経路が残っていれば再感染する可能性があります。
再感染する例
不正PHPを削除 → 古いプラグインの脆弱性を放置 → 同じ経路から再侵入 → 再び不正PHPを設置される。
復旧では「何を消すか」と同時に、「なぜ侵入されたか」を確認する必要があります。
バックアップから戻せば安全？
感染前のバックアップへ戻す方法は有効ですが、復元だけで完了ではありません。
復元前後に確認すること
- バックアップ取得日時は感染前か
- 侵入原因になった脆弱性を修正したか
- 管理者パスワードを変更したか
- 不審なユーザーを削除したか
- APIキー・FTP・SSH等の認証情報も必要に応じて変更したか
- 復元後に再スキャンしたか
バックアップは「戻す」ためだけではない
感染前後のファイル差分を確認し、いつ何が変更されたかを調べる材料にもなります。
WAFを入れればマルウェア感染を防げる？
WAFはWebアプリへの不正なHTTP/HTTPSリクエストを検知・遮断する仕組みです。
SQLインジェクションや既知の攻撃パターンを防ぐ助けになりますが、WAFだけですべてのマルウェア感染を防げるわけではありません。
| 対策 | 主な役割 |
|---|---|
| WAF | Web攻撃の検知・遮断 |
| 更新 | 既知脆弱性の修正 |
| 二要素認証 | 不正ログインの抑止 |
| マルウェア検知 | 不審ファイル・コードの発見 |
| バックアップ | 侵害後の復旧 |
マルウェアを早く見つける方法
完全に防ぐだけでなく、侵害を早く発見する仕組みも重要です。
WordPress公式のハードニング資料でも、ファイル整合性監視や外部からのWebサイト監視が侵害検知の方法として紹介されています。
監視ポイント
- 重要ファイルの変更
- 新規管理者アカウント
- 不審なログイン
- 大量メール送信
- 異常なCPU・メモリ使用
- 外部から見たページ改ざん
- ホスティング会社のマルウェア検知通知
WordPressで最低限やるべき対策
初心者向け最低限
- WordPress本体を最新の安全な状態に保つ
- テーマ・プラグインを更新する
- 不要なテーマ・プラグインを削除する
- 管理者パスワードを使い回さない
- 二要素認証を使う
- サーバー標準WAFがあれば有効化を検討する
- 自動バックアップを設定する
- 管理PCも更新する
- 不審な管理者アカウントがないか定期確認する
共用レンタルサーバー利用者は何をすればよい？
共用レンタルサーバーでは、OSやサーバー全体のマルウェア対策は事業者側が管理している部分もあります。
利用者は主に、自分のWordPress・テーマ・プラグイン・アカウント・バックアップを管理します。
WordPress更新、認証、WAF、自動バックアップ、事業者のマルウェア検知機能を確認。
上記に加えてOS更新、SSH、ファイアウォール、ログ、サーバー内ファイル監視も自分で管理。
マルウェア感染とSEOの関係
感染サイトでは、検索結果に不審なページが大量表示されたり、Googleから危険サイトとして警告されたりする場合があります。
ただし「感染したら順位が何位下がる」といった単純な話ではありません。
SEOより先に安全性を回復する
検索順位の回復を急ぐより、まず侵害箇所を除去し、侵入経路を塞ぎ、安全なサイトへ戻すことを優先してください。
感染していないのに「ウイルス警告」が出る場合
ブラウザ上に「ウイルスに感染しました」「今すぐ電話してください」と表示されても、本当にWebサイトやPCが感染しているとは限りません。
IPAは、偽のセキュリティ警告を表示して電話や遠隔操作ソフトの導入へ誘導する「サポート詐欺」について注意喚起しています。
突然の警告画面をそのまま信じない
表示された電話番号へ連絡したり、案内されたソフトをインストールしたりせず、利用中の正規セキュリティソフトや専門窓口で確認してください。
教科書判定
WordPress運営者は「防ぐ・気づく・戻す」の3段階を用意する
マルウェア対策は、セキュリティプラグインを1つ入れれば終わりではありません。
まずWordPress・テーマ・プラグインを更新し、管理者アカウントを強く保護します。次にWAFや監視で不審な変更へ気づけるようにし、最後に感染前へ戻せるバックアップを用意してください。
感染が疑われた場合は、見える不正ファイルだけを削除せず、侵入経路の特定と再発防止まで行うことが重要です。
FAQ
Q．マルウェアとウイルスは同じですか？
完全に同じではありません。マルウェアは悪意あるソフトウェアの総称で、ウイルスはその一種です。
Q．WordPressにマルウェア対策プラグインを入れれば安全ですか？
それだけでは不十分です。WordPress・テーマ・プラグイン更新、二要素認証、WAF、バックアップ、管理PCの安全確保などを組み合わせます。
Q．不審なPHPファイルを見つけたら削除してよいですか？
侵害調査中なら、先にバックアップやログを確保した方が安全です。削除だけでは侵入経路が残る可能性があるため、原因調査と再発防止も必要です。
Q．バックアップから戻せば完全に直りますか？
感染前のバックアップなら有効ですが、侵入原因を修正しなければ再感染する可能性があります。認証情報変更や脆弱性修正もあわせて行います。
Q．レンタルサーバー会社からマルウェア通知が来たらどうすればよいですか？
通知内容と対象ファイルを確認し、必要なら一時公開停止を行います。自己判断が難しい場合はサーバー会社や専門家へ相談し、復旧後に侵入経路を修正してください。
まとめ
この記事の結論
- マルウェアは悪意あるソフトウェアの総称
- Webサイトでは不正PHP・JavaScript・バックドアなどとして入り込むことがある
- 古いソフト、認証情報漏えい、管理PC感染などが侵入経路になる
- 被害は改ざん・不正転送・情報窃取・迷惑メールなど多岐にわたる
- 感染が疑われたら証拠とバックアップを確保し、被害拡大を止める
- 見える不正ファイルだけ削除して終わらせない
- 更新・二要素認証・WAF・監視・バックアップを組み合わせる
- 重要サイトは専門家やホスティング会社への相談も検討する
「Webサイト改ざんとは？原因と対策を解説」もあわせて確認してください。