不正アクセスされたらアクセスログをどう保存する？証拠を消さない初動手順

不正アクセスされたら、最初に行うべきことはアクセスログを消さずに保存することです。
復旧を急いでWordPressを更新したり、怪しいファイルを削除したりすると、侵入時刻や攻撃経路を示す記録まで失うおそれがあります。

アクセスログは、誰が、いつ、どのURLへ、どのような要求を送ったかを調べる重要な手掛かりです。
ただし、単にダウンロードするだけでは不十分で、対象期間、時刻設定、原本との同一性、作業者の記録までそろえて初めて調査に使いやすくなります。

よこやま良平

20年以上ITエンジニアとしてWordPressの制作・保守・復旧に携わっている、よこやま良平です。
復旧対応の現場では、表示を戻す前に証拠を残せたかどうかで、原因調査と再発防止の精度が大きく変わります。

この記事では、共有サーバーの管理画面しか使えない方にも、SSHを使える方にも共通する保存手順を説明します。
画面名やログの場所は会社ごとに違いますが、原本を変更しない、別の場所へ退避する、同一性を記録するという原則は同じです。

なお、ログ保存は侵入者を断定する作業ではありません。
個人情報や通信の秘密に関わる場合もあるため、公開場所へ貼らず、必要な範囲を権限のある担当者だけで扱ってください。

【無料プレゼント】
WordPress緊急チェック50

「自分のサイトは今、安全なのか？」
自信を持って答えられますか？

こんなお悩みはありませんか？

• ある朝、サイトを開いたら真っ白画面になっていた
• 管理画面にログインできなくなって手が止まった
• 身に覚えのない記事やページが勝手に増えていた
• プラグインを更新したらサイト全体が崩れてしまった
• 以前バックアップを取ったか自分でも覚えていない

累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。

セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。

今すぐ無料ダウンロードする →

※登録後すぐにメールで特典をお届けします

不正アクセスされたらアクセスログを削除・更新前に保存する

不正アクセスされたら、アクセスログの保存が完了するまで、ログを上書きする可能性がある操作をできるだけ止めるのが結論です。
「早く直す」ことと「原因を調べられる状態を残す」ことを分け、まず短時間で保全してください。

復旧操作が証拠を消す理由を知る

WordPress本体やプラグインの更新、バックアップからの復元、キャッシュ削除、セキュリティ設定変更は、それぞれ正常化に役立つ操作です。
しかし実行時刻以降のアクセスを増やしたり、ファイルの更新日時を変えたり、古いログをローテーションさせたりします。

たとえば管理画面へ何度もログインすると、自分のIPアドレスと操作がアクセスログへ大量に追加されます。
攻撃者の通信と復旧担当者の通信が混ざり、発覚直後の状態を説明しにくくなるため、調査前の操作は少ないほど有利です。

怪しいPHPファイルも、見つけてすぐ削除すると作成時刻、所有者、コード、外部接続先を確認できなくなります。
危険なファイルは実行させず、アクセス制限や隔離を検討しながら、削除前の情報を保存する必要があります。

止める操作と続けるべき監視を分ける

すべてを無計画に停止する必要はありません。
注文や問い合わせが続くサイトでは、被害拡大を防ぐための公開制限と、業務データを守るための判断を同時に行います。

一方で、ログ保存作業、ホスティング会社への緊急連絡、影響範囲の限定、危険な通信の一時遮断は進めます。
ただし遮断設定を変える前にも、現在のWAFルール、拒否された時刻、対象IPなどを記録してください。

WordPressハッキング発覚直後の初期対応チェックリスト

発覚時刻と自分の操作を最初に記録する

最初のメモには、異常へ気づいたJST時刻、正常だった最後の時刻、確認したURL、表示された症状、通知元を残します。
サーバー会社の警告メールや利用停止通知がきっかけなら、件名、受信時刻、指摘されたファイルや通信先も保存します。

次に、自分や制作会社が直前に行った更新、投稿、SFTP接続、サーバー設定変更を書き出します。
正規作業を先に明確にすると、アクセスログ内の正常な通信を誤って攻撃と判断するリスクを下げられます。

アクセスログを証拠として残す前に理解すること

アクセスログを証拠として残すには、ログの種類、保存期間、時刻の基準を確認することが重要です。
似た名前のログを一つだけ保存しても、侵入から改ざんまでの流れを再現できない場合があります。

アクセスログ・エラーログ・認証ログは役割が違う

Webアクセスログには、送信元IPアドレス、日時、要求されたURL、HTTPメソッド、ステータスコード、User-Agentなどが記録されます。
不審なログイン試行、脆弱性探索、PHPファイルへの直接アクセス、同じURLへの連続要求を調べる基礎資料です。

エラーログには、PHPエラー、存在しないファイルへの要求、権限エラー、処理失敗などが残ります。
攻撃が成功した記録とは限りませんが、アクセスログの同じ時刻と突き合わせると、何が実行され、何が拒否されたかを判断しやすくなります。

WordPressやセキュリティプラグインの監査ログには、ユーザーログイン、設定変更、投稿更新、プラグイン操作が残ることがあります。
SFTP、SSH、サーバーパネル、WAF、CDN、メール送信のログも侵入経路ごとに役割が違うため、利用中のサービスを一覧化してください。

WordPressへの不正ログインを検知・ブロックする方法｜プロの設定を公開

保存期間とログローテーションを確認する

ログには保存期間があり、一定容量や一定日数を超えると古いファイルから圧縮・削除されます。
アクセスが多いサイトでは、数日分しか残らないこともあるため、発覚後はログの確認より先にダウンロードを始める判断が必要です。

現在のaccess.logだけでなく、access.log.1、access.log.2.gzのようなローテーション済みファイルも対象にします。
管理画面で「過去30日」と表示されていても、WAF、Webサーバー、WordPress監査ログで保持期間が別々の場合があります。

ホスティング会社にしか取得できないログがある場合は、発覚時刻、調査したい期間、対象ドメイン、必要なログ種別を明記して保存を依頼します。
「不正アクセスを調べてください」だけでなく、「削除予定前に原本を保全してほしい」と伝えると目的が明確です。

JST・UTC・サーバー時刻を区別する

管理画面の表示がJSTでも、WebサーバーのログはUTC、WordPressはサイト設定の時刻、WAFは別のタイムゾーンというケースがあります。
時刻の基準を記録しないまま並べると、同じ通信を9時間ずらして比較するなどの誤りが起きます。

ログファイルの冒頭や管理画面の説明でタイムゾーンを確認し、不明なら「表示上は2026年10月24日00:15、基準は未確認」と書きます。
無理に変換して原本へ追記せず、分析用コピーや作業メモでJST換算を管理してください。

WordPress不正アクセスの症状別診断｜ログイン不能・マルウェア感染の対処法

アクセスログを安全に保存する初動手順

アクセスログを安全に保存する手順は、対象決定、原本複製、別媒体への退避、ハッシュ値記録、作業記録の5段階です。
共有サーバーでも専用サーバーでも、この順序を守れば後から「どのファイルをいつ保存したか」を説明しやすくなります。

手順1：対象ドメイン・期間・ログ種別を決める

最初に対象ドメイン、サブドメイン、発覚時刻、正常だった最後の時刻を決めます。
調査期間は発覚直前だけに絞らず、侵入準備や認証情報の悪用を考え、利用可能な範囲で数日前から発覚後まで確保します。

同じ契約に複数サイトがある場合は、対象サイトだけでなく、共通のSFTPやサーバーパネルのログも確認します。
一つの認証情報が漏れて別サイトから侵入された場合、対象ドメインのアクセスログだけでは入口が見つかりません。

手順2：原本を変更せず複製して別名で保存する

サーバー管理画面にダウンロード機能があるなら、閲覧画面のコピー＆ペーストではなく、元のログファイルをそのまま取得します。
期間指定で生成されるCSVしかない場合は、指定条件と取得時刻をメモし、可能なら未加工形式も依頼してください。

SSHが使える場合も、原本へ圧縮や編集をかけず、属性を保って複製したファイルを作業対象にします。
保存先には案件名、対象サーバー、取得日時を含め、同じ名前のファイルを後から上書きしない運用にします。

cp -p access.log access.log.20261024-0015.copy
shasum -a 256 access.log.20261024-0015.copy

上の例は考え方を示すもので、実際のファイル名と権限はサーバーによって異なります。
root権限が必要な場所を推測で操作せず、権限がなければ管理会社へ複製を依頼してください。

手順3：圧縮済みログと関連ログも一緒に退避する

現在のログだけでなく、ローテーション済みの.gzファイル、WAFログ、エラーログ、認証ログを同じ案件フォルダへ保存します。
ただし取得元ごとにフォルダを分け、WebアクセスログとWordPress監査ログを一つの編集済みCSVへ混ぜないでください。

退避先は、感染が疑われるWebサーバーの公開ディレクトリ外にします。
ローカルPC、アクセス制限したクラウドストレージ、別の安全なサーバーなどを使い、保存先の共有権限と自動同期先も確認します。

ログにはIPアドレス、URL、検索語、セッション識別子、メールアドレスなどが含まれることがあります。
第三者へ渡す場合は原本を保持したまま共有用コピーを作り、必要に応じて秘密情報をマスキングしてください。

手順4：ハッシュ値で保存後の同一性を記録する

ハッシュ値は、ファイル内容から計算する固有の値です。
保存直後にSHA-256を記録しておけば、後日同じファイルを再計算し、内容が変わっていないか確認できます。

ファイル名が同じでも、中身が一文字変わればハッシュ値は変わります。
ハッシュ値があるだけで法的な証拠能力が自動的に決まるわけではありませんが、調査資料の同一性を説明する実務上の助けになります。

手順5：保全完了後に止血と調査へ進む

必要なログと現状バックアップを保存したら、被害拡大を止める作業へ移ります。
管理者セッションの切断、認証情報変更、公開制限、不審な通信の遮断を、変更時刻を記録しながら順番に実施します。

ログ保存が終わったからといって、すぐに安全と判断してはいけません。
ファイル、データベース、管理者ユーザー、Application Passwords、SFTP、サーバーパネルなどを横断して侵入口と残存物を調査します。

WordPressでよく見つかるマルウェアファイル名一覧と安全な削除方法｜感染時の初動と復旧手順

アクセスログで確認する項目と限界

アクセスログでは、時刻、送信元、要求先、応答結果、通信の連続性を確認します。
ただしログに一つ不審なIPアドレスがあっても、その人物が侵入した、情報を盗んだと即断することはできません。

IP・URL・メソッド・ステータスを一組で見る

送信元IPだけでなく、要求されたURL、GETやPOSTなどのメソッド、HTTPステータス、応答サイズ、User-Agentを一組で確認します。
同じIPがwp-login.phpへPOSTを繰り返し、その後wp-adminへ200で到達しているなら、単なる閲覧とは異なる流れが見えます。

ただし200は「画面が返った」ことを示すだけで、ログイン成功を意味しない場合があります。
302も正常なログイン遷移、エラー、WAF転送など複数の意味があるため、WordPress監査ログやCookie、直後の操作と突き合わせます。

uploads内のPHP、見覚えのないプラグインファイル、admin-ajax.php、xmlrpc.php、REST APIへの要求は、時刻と前後関係を確認します。
一件だけを切り取らず、探索、送信、実行、管理操作、外部通信が連続していないかを見ることが重要です。

WordPress・WAF・ファイル時刻を突き合わせる

アクセスログで不審な通信時刻を見つけたら、同じ時間帯のWAF検知、PHPエラー、管理者ログイン、投稿変更を比較します。
不審ファイルの作成・更新時刻も参考になりますが、攻撃者が時刻を変更する場合があるため、それだけを根拠にしません。

複数のログで同じ時刻帯に変化が見つかれば、調査範囲を絞りやすくなります。
反対にアクセスログが欠けていても、安全だった証明にはならず、保持期限切れ、CDN経由、別ホスト、アプリケーション経由の可能性を検討します。

WordPressがハッキングされた時の復旧手順と再発防止策のすべて｜初心者向け完全ガイド

IPアドレスだけで攻撃者を断定しない

IPアドレスはVPN、プロキシ、CDN、携帯回線、共有ネットワーク、感染端末を経由している場合があります。
企業や国の情報が表示されても、それが実際の操作者の所在地や身元を示すとは限りません。

また、CDNやリバースプロキシを使うサイトでは、設定によってすべて同じ中継IPに見えることがあります。
X-Forwarded-Forなどのヘッダーも、信頼するプロキシ範囲とサーバー設定を確認しなければ正しく解釈できません。

不正アクセス後のログ保全でよくある失敗

不正アクセス後のログ保全では、内容を見やすくしようとした編集や、善意の復旧操作が失敗につながります。
原本、分析用コピー、共有用コピーを分けるだけでも、多くの混乱を防げます。

ブラウザ表示をコピーして原本だと思う

管理画面に表示された直近100件をコピーしても、全期間の原本とは限りません。
画面側で省略、整形、タイムゾーン変換、フィルターが行われている場合があり、必要な列や前後の通信が欠けることがあります。

まずダウンロード可能な元ファイルを保存し、閲覧画面は補助資料としてスクリーンショットを残します。
CSVへ変換したり列を追加したりする作業は複製に対して行い、元ファイルとハッシュ値を保持してください。

バックアップ復元やWAF導入を先に実行する

古いバックアップへ戻せば表示が直ることはありますが、発覚時点のログ、注文、問い合わせ、不審ファイルを失う可能性があります。
復元前に現在のファイル、データベース、ログを別に保存し、戻す時点と失われるデータを確認します。

WAFやセキュリティプラグインの導入も、設定変更と新しいログを発生させます。
保全後に導入し、導入時刻とルール変更を記録すれば、攻撃時の記録と対策後の記録を区別できます。

ログを公開チャットやメール本文へ貼り付ける

アクセスログにはIPアドレス、管理画面URL、クエリ文字列、ユーザー名に相当する情報が含まれる場合があります。
公開チャット、SNS、誰でも見られる共有URLへ貼ると、二次的な情報漏えいを起こします。

依頼先へ渡す時は、送付相手、目的、対象期間、保存期限、削除方法を決めます。
調査に不要な秘密情報は共有用コピーでマスキングし、原本はアクセス制限した場所に保管してください。

保存しただけで調査完了にする

ログ保存は調査の入口であり、復旧完了ではありません。
不審な管理者、Application Passwords、テーマ・プラグイン、mu-plugins、uploads内PHP、データベース内スクリプトなども確認します。

問い合わせ、会員、注文などの情報流出が疑われる場合は、技術調査だけでなく、契約先、法務、個人情報保護の担当者へ相談します。
事実が確定していない段階では「可能性」「確認中」「確認できた事実」を分けて記録することが大切です。

プラグイン設定だけでなく、更新・バックアップ・緊急復旧まで継続して任せたい場合は、
保守サービス「クイックレスキュー365」の内容も確認してください。

WordPress・サイト保守クイックレスキュー365

不正アクセスとアクセスログ保存のよくある質問

不正アクセス発覚後のアクセスログ保存で、特に迷いやすい点を整理します。
サーバー会社ごとに取得方法が違うため、操作権限がない場合は無理に進めず保全依頼を優先してください。

不正アクセスされた時のアクセスログ保存まとめ

不正アクセスされた時は、復旧より先にアクセスログを保全することが正解です。
原本を変更せず、関連ログと一緒に別媒体へ退避し、取得条件、タイムゾーン、ハッシュ値、作業者を記録してください。

アクセスログは重要な手掛かりですが、IPアドレスやHTTPステータスだけで侵入成功や情報流出を断定できません。
WordPress監査ログ、WAF、認証ログ、ファイル、データベースを同じ時系列で確認して、複数の事実から判断します。

ログの保存場所が分からない、保持期間が迫っている、改ざんと情報流出の両方が疑われる場合は、自分だけで操作を増やさないでください。
ホスティング会社とWordPress復旧の専門家へ早めに連絡し、「現状を変える前に証拠を保全したい」と伝えることが最初の一歩です。

WordPressの不正アクセス・乗っ取りが自分で直せない時は

ワードプレスのWordPressエラートラブル解決をしたいなら
クイックレスキューが解決します。

これらでお悩みなら最短30分ですぐに解決します！

いまなら期間限定で