WordPressがハッキングされた！？乗っ取り対応法と復旧の進め方を徹底解説！

WordPressのサイトに急な異変が起きると、とても焦りますよね。

でも落ち着いてください。

この記事ではWordPressの乗っ取り対応やハッキングされたときにまずやるべきことを詳しく解説します。

WordPressが乗っ取られたかも？ まず知っておきたいこと

まずは症状を整理して、ハッキングの可能性を見極めましょう

WordPressの不具合と乗っ取りは、ぱっと見では区別しにくいことがあります。

たとえば更新後の表示崩れは単なる相性問題のこともありますが、見覚えのない管理者が追加されているなら注意が必要です。

最初は、いま起きている症状を落ち着いて整理してみてください。

症状	ハッキングの可能性	補足
管理画面に急に入れなくなった	高い	パスワード変更や権限変更の可能性があります
別サイトへ勝手に飛ばされる	高い	リダイレクト改ざんの可能性があります
見知らぬ記事や固定ページが増えている	高い	スパムページを作られていることがあります
サイトが真っ白になった	中くらい	不具合のこともありますが、改ざんの可能性もあります
急に広告や怪しい文字列が出る	高い	不正コードが埋め込まれている可能性があります
更新後に表示が崩れた	低め	まずはテーマやプラグインの不具合も疑います

特に注意したいサインは次のとおりです。

こうした症状がいくつも重なっているなら、早めに対応を始めたほうが安心です。

不具合と乗っ取りを混同しないことが復旧の近道です

サイト運営に慣れていないと、どんな異常も「ハッキングされたのかも」と感じてしまいがちです。

ただ、単なる不具合なのに大がかりな作業を始めると、かえって時間も手間も増えてしまいます。

見分けるときは、次の点を順番に確認してみてください。

たとえば、画面が真っ白でも、不正ユーザーがいない、怪しいページもない、更新直後から起きたという場合は、テーマやプラグインの相性問題のことがあります。

逆に、見知らぬ管理者がいて、勝手なページまで増えているなら、ハッキングの可能性は高いと考えたほうがよいです。

まず大切なのは、サイトを守りながら証拠も残すことです

ここで意識したいのは、いきなり全部を消さないことです。

早く元に戻したい気持ちはよく分かりますが、先に状況を記録しておくと、あとで原因を追いやすくなります。

最初にやっておきたいことは次のとおりです。

• 今の画面をスクリーンショットで残す
• 不審なURLやページタイトルを控える
• 管理画面に入れるならユーザー一覧を確認する
• サーバーのエラーログやアクセスログを確認する
• バックアップを別の場所に保管する

この段階では、まだ全面的な削除作業をしなくても大丈夫です。

まずは、被害の全体像をつかむことが、正しい対応につながります。

WordPressの乗っ取り対応で最初にやるべきこと

最初の一歩は、被害を広げないための応急対応です

緊急時は、完璧に直すことより、まず被害を広げないことが優先です。

私なら、次の順番で進めます。

• サイトの公開を一時的に制限する
• 管理画面、サーバー、データベース、メールのパスワードを変更する
• 不審な管理者ユーザーを停止または削除する
• バックアップを取得する
• サーバー会社の管理画面で異常通知を確認する

「公開を一時的に制限する」と聞くと不安に感じるかもしれませんが、訪問者に被害が広がるよりは安全です。

特に、別サイトへの転送や不正なファイル配布が疑われる場合は、早めに制限したほうが安心です。

パスワード変更は、WordPressだけで終わらせないでください

よくあるのが、WordPressのログインパスワードだけを変えて安心してしまうことです。

実際には、入口がサーバー側やメール側にあることもあります。

最低でも見直したいのは次の情報です。

• WordPress管理者アカウント
• サーバーのコントロールパネル
• FTPやSFTPの接続情報
• データベースの接続情報
• 関連するメールアカウント
• ドメイン管理サービスのログイン情報

パスワードは長くて複雑なものにし、使い回しは避けてください。

設定できるなら、二段階認証も入れておくとより安心です。

バックアップは復旧用だけでなく、調査用としても役立ちます

すでに改ざんされている状態でも、今のデータを保管しておく意味はあります。

あとで「どこが変えられたのか」を調べる手がかりになるからです。

バックアップで保管したいものは次のとおりです。

• WordPress本体のファイル一式
• テーマとプラグインのフォルダ
• uploadsフォルダ
• データベース
• サーバーログ

「汚れたデータを取っても意味がない」と思う方もいますが、それは違います。

復旧用のクリーンなバックアップとは別に、調査用のバックアップも残しておくと、原因の特定や再発防止に役立ちます。

ワードプレスがハッキングされたときの確認ポイント

最初に確認したいのは、管理者ユーザーと設定の変化です

管理画面に入れる場合は、まずユーザー一覧を見てください。

乗っ取りでは、知らない管理者が追加されるケースがよくあります。

確認ポイントは次のとおりです。

ここで怪しいユーザーやプラグインが見つかった場合でも、すぐ削除する前に名前や権限をメモしておくと安心です。

ファイルの中身を見て、怪しい場所を絞り込みましょう

WordPressの改ざんは、テーマファイルやuploadsフォルダ、設定ファイルの周辺で見つかることがよくあります。

特に、普段は画像を置くはずの場所に見慣れないPHPファイルがあるなら注意が必要です。

よく確認したい場所を表にまとめます。

確認場所	見るポイント	注意点
wp-content/uploads	PHPや見慣れない実行ファイル	画像フォルダに実行ファイルがあるのは不自然です
使用中テーマのフォルダ	footerやfunctions周辺の怪しいコード	意味の分かりにくい長い文字列は要注意です
プラグインフォルダ	身に覚えのない追加ファイル	本物に似せた名前で紛れていることがあります
wp-config.php	不審な追記や外部接続	設定ファイルの改ざんは影響が大きいです
.htaccess	勝手な転送ルール	リダイレクト被害で使われることがあります

ファイル名が一見普通でも、更新日時が不自然だったり、中身が極端に長く読みにくかったりする場合があります。

そのため、名前だけでなく、更新タイミングや置かれている場所も確認してください。

検索結果の異常は、見逃しやすい大きなサインです

見た目は普通のサイトでも、検索結果にだけ異常が出ていることがあります。

たとえば、サイト名で検索したときに、関係のない商品名や外国語のページが大量に表示される状態です。

そんなときは次の確認が役立ちます。

• サイト名で検索して不自然な結果がないか
• 見覚えのないページタイトルが出ていないか
• 検索サービスの管理画面に警告が来ていないか
• インデックスされているページ数が不自然に増えていないか

これはSEO面の被害にもつながります。

せっかく育てたサイトでも、スパムページが増えると信頼を落とし、検索順位に悪い影響が出ることがあります。

自力で復旧するときの基本手順

不正ユーザーと怪しい設定を整理します

まずは、管理権限を誰が持っているかを正しい状態に戻します。

これを先にやらないと、復旧中にまた操作されるおそれがあります。

作業の流れは次のとおりです。

• 不審な管理者ユーザーを特定する
• 本来の管理者アカウントのメールアドレスを確認する
• 不審ユーザーの権限を外す
• 必要に応じて削除する
• 管理画面の基本設定を見直す

ただし、削除時に投稿の引き継ぎ先を間違えると、記事データの扱いで困ることがあります。

不安なら、いったん権限を下げてから慎重に確認してください。

テーマとプラグインは、きれいな状態に戻すのが基本です

改ざんされたファイルを一つずつ探す方法もありますが、実務では、信頼できる配布元のデータで入れ直すほうが安全なことが多いです。

おすすめの流れは次のとおりです。

• 使っていないテーマとプラグインを削除する
• 使用中のテーマとプラグインは公式または信頼できる配布元から再取得する
• 必要なものだけ入れ直す
• 再インストール後に表示崩れがないか確認する

ここで大切なのは、配布元があいまいなファイルを使わないことです。

無料配布を装った危険なテーマやプラグインが、侵入口になっていることもあります。

WordPress本体とデータベースも見直して、表面だけの復旧で終わらせない

見た目が元に戻っても、内部に不正コードが残っていれば再発します。

そのため、WordPress本体やデータベースの確認も必要です。

確認したいポイントを整理すると、次のようになります。

項目	やること	目的
WordPress本体	正規のファイルで上書きする	改ざんされた本体ファイルを戻すため
データベース	怪しい文字列や不正URLを確認する	見た目に出ない改ざんを見つけるため
オプション設定	不審な値がないか確認する	転送設定や外部接続の痕跡を探すため
定期実行の設定	不審な自動処理がないか確認する	何度も復活する不正処理を防ぐため

データベースの確認は、少し難しく感じるかもしれません。

ただ、ここを見逃すと「直ったと思ったのにまた不正ページが出た」という状態になりやすいです。

不安な場合は、この部分だけでも専門家に相談する価値があります。

復旧後に必ずやりたい！検索結果と信頼回復のチェック

検索結果に怪しいページが残っていないか確認しましょう

ハッキング被害では、サイト内部にスパムページを大量に作られることがあります。

そのページが検索結果に残ると、サイト全体の信頼を下げてしまいます。

確認したいポイントは次のとおりです。

• 見覚えのないページが検索結果に出ていないか
• タイトルや説明文に不自然な単語が混ざっていないか
• 公開していないはずのURLが表示されていないか
• サイト全体のページ数が急に増えていないか

たとえば、会社サイトなのに薬やカジノのような言葉が混じっていたら、かなり危険です。

これは読者だけでなく、検索エンジンからの信頼にも影響します。

訪問者目線で安全かどうかを確認してください

管理者から見ると普通でも、訪問者からは異常が見えていることがあります。

特に、スマホだけ別サイトに飛ぶケースは、自分では気づきにくいです。

そのため、復旧後は次のように確認してください。

• スマホとパソコンの両方で見る
• シークレットモードで表示確認する
• トップページ以外の下層ページも開く
• 問い合わせフォームや会員ページも確認する
• 家族や同僚に別の環境で見てもらう

一人で確認すると見落としが出やすいので、別の人の目を借りるのも有効です。

被害後の確認で見ておきたい項目を一覧にします

復旧後は、見た目だけでなく、運営面まで一通り確認しておくと安心です。

確認項目	チェック内容	重要度
検索結果	不正ページや怪しいタイトルがないか	高い
フォーム	正常に送信できるか	高い
ログイン機能	正しい管理者だけが入れるか	高い
表示速度	急に重くなっていないか	中くらい
広告やリンク	身に覚えのない表示がないか	高い
メール通知	不審な通知が出ていないか	中くらい

この一覧を使って見直すだけでも、復旧の抜け漏れを減らせます。

WordPressが乗っ取られる主な原因

古いまま放置した本体やプラグインが入口になることがあります

よくあるのが、更新を後回しにしている間に、弱い部分を狙われるケースです。

難しく聞こえるかもしれませんが、家の鍵が古くなって壊れやすくなっているようなイメージです。

特に注意したいのは次のパターンです。

• WordPress本体を長く更新していない
• 使っているテーマが古いままになっている
• 更新が止まっているプラグインを使っている
• 使っていないプラグインを入れっぱなしにしている

「動いているからそのままでいい」と感じやすいのですが、セキュリティの面では、それが一番危ないことがあります。

弱いパスワードや使い回しも、非常に多い原因です

パスワードは地味ですが、とても重要です。

短い文字列や推測しやすい単語の組み合わせは危険です。

避けたい例は次のとおりです。

• 会社名やサイト名そのまま
• 誕生日や電話番号
• 短く単純な英単語
• 複数サービスで同じパスワードを使い回す

たとえば、別のサービスから漏れたパスワードが、そのままWordPressでも使われていると、一気に侵入されることがあります。

配布元があいまいなテーマやプラグインは大きなリスクです

「有料級の機能が無料」といった甘い言葉には注意が必要です。

見た目は便利でも、最初から危険なコードが入っていることがあります。

安全のために意識したいことは次のとおりです。

• 公式または信頼できる配布元から入手する
• レビューや更新状況を確認する
• 本当に必要なものだけ使う
• 配布元が不明なものは使わない

便利さにひかれて入れたものが、結果的に大きな被害につながることは少なくありません。

再発を防ぐために見直したいセキュリティ対策

まずは、少ない項目でもいいので必須対策を固めましょう

全部を一気にやろうとすると疲れてしまいます。

そのため、まずは効果の大きいものから進めるのがおすすめです。

対策	内容	優先度
更新を習慣化する	本体・テーマ・プラグインを放置しない	高い
強いパスワードにする	長くて複雑なものに変更する	高い
二段階認証を入れる	ログイン突破を防ぎやすくする	高い
不要なプラグインを削除する	攻撃の入口を減らす	高い
定期バックアップを取る	いざというときに戻しやすくする	高い
ログイン対策を行う	総当たり攻撃を受けにくくする	中くらい

この表の上から順にやるだけでも、かなり違います。

ファイルや権限の管理も、地味ですが大切です

サイトの安全は、見える部分だけでは守れません。

サーバー内の権限設定がゆるいと、攻撃者にとって入りやすい状態になることがあります。

見直したいポイントは次のとおりです。

• 必要以上に広い権限をつけない
• 管理者権限を持つ人を増やしすぎない
• 使っていないアカウントは削除する
• 共有サーバーの管理情報も丁寧に扱う

このあたりは少し専門的に感じるかもしれませんが、分からないときはサーバー会社のサポートや保守担当に確認すると安心です。

一人で抱え込まないために、運用ルールを決めておくと安心です

セキュリティは、気合いだけでは続きません。

だからこそ、日々のルールにしておくことが大切です。

おすすめの運用ルールは次のとおりです。

• 更新チェックを週に一度行う
• バックアップの保存先を複数に分ける
• ログイン情報を安全に管理する
• 管理者をむやみに増やさない
• 不審なメールや添付ファイルを開かない
• トラブル時の連絡先を決めておく

「何かあったら誰に相談するか」まで決めておくと、いざというときの動きがずいぶん変わります。

自力での対応が難しいときは？ 専門家に相談したい場面

こんなケースは、早めに相談したほうが安心です

次のような場合は、専門家に任せたほうが安全です。

• 管理画面にもサーバーにも入れない
• 通販機能や会員情報を扱っている
• 何度直しても不正ページが復活する
• データベースの確認が難しい
• サイト停止による影響が大きい
• 複数サイトが同時におかしい

特に、個人情報や決済情報が関わるサイトは慎重な対応が必要です。

「なんとか自分で」と無理をするより、早めに専門家へ相談したほうが、結果的に被害を抑えられることがあります。

相談するときは、状況を整理して伝えるとスムーズです

依頼するときは、ただ「ハッキングされたかもしれない」と伝えるより、状況を整理しておくと復旧が早くなります。

伝えるとよい内容は次のとおりです。

• いつ頃から異常が出たか
• どんな症状が出ているか
• 最近行った更新や設定変更
• 管理画面やサーバーに入れるか
• バックアップの有無
• 警告メールや検索結果の異常の有無

この整理ができているだけで、初動のスピードはかなり変わります。

よくある質問

Q. wordpress 乗っ取りの対応は、サイトをすぐ閉じたほうがいいですか？

A. 別サイトへの転送や不正なファイル配布が疑われるなら、wordpress 乗っ取り 対応として一時的に公開を制限したほうが安全です。

ただし、やみくもに削除する前に、状況の記録とバックアップの確保を先に行うことをおすすめします。

Q. ワードプレスをハッキング されたとき、バックアップがなければ終わりですか？

A. いいえ、ワード プレス ハッキング された場合でも、必ずしもそこで終わりではありません。

不正ユーザーの削除、テーマやプラグインの再インストール、WordPress本体の上書き、データベースの確認などで復旧できることがあります。

ただし、被害が広い場合は専門家への相談が安心です。

Q. wordpress 乗っ取り対応のあと、同じ被害を防ぐには何をすればいいですか？

A. wordpress 乗っ取り 対応のあとに大切なのは、更新の習慣化、強いパスワード、二段階認証、不要なプラグインの削除、定期バックアップです。

一つずつでも実行すると、再発のリスクを大きく減らせます。

まとめ

ここまでのまとめ

今日から取るべき最初の一歩は、まず自分のWordPressにログインし、管理者ユーザー一覧とプラグイン一覧を確認することです。それだけでも、不審な変化に早く気づきやすくなります。