WordPressは世界中で広く導入されているCMSです。ですが、導入率の高さから、ハッカーの標的になりやすく、WordPressマルウェア感染が多く報告されています。
対策を行わなければ、せっかく開設したサイトからビジネスに悪影響を与えかねません。
そこで本記事では、WordPressマルウェアに感染した場合の症状やマルウェアスキャン方法、マルウェア対策プラグインについて解説していきます。
目次
WordPressマルウェアに感染した場合の症状
マルウェアとは
マルウェアとは、コンピューターや利用者に被害をもたらすことを目的としている「悪意あるプログラム全般」のことを指します。
よく耳にする「ウイルス」はマルウェアのひとつにすぎず、マルウェアは他に、トロイの木馬やランサムウェア、ワームといったものがあり、形態や感染挙動、被害効果によって区別されています。
- クレジットカード情報などの金融情報を盗む
- 利用者を騙し、個人情報やIDを不正に入手する
- 複数のコンピューターを操り、第三者への攻撃に使われる
- 感染したコンピューター内にあるファイルを消去、改ざん、外部流出させる
といったことが行われてしまいます。
WordPressマルウェアに感染した場合の症状
WordPressマルウェアに感染した場合、以下の症状がみられます。
- 本来アクセスしたサイトとは、別ドメインのサイトへ飛んでしまう（リダイレクト）
- 管理画面にログインするためのページが403または404と表示されログインできなくなるなど、特定の管理画面にアクセスできない
- サーバー管理会社からスパムメール送信元になっていると通知がくる
- サイトが突然表示されなくなる、サイトの表示が異常なほど遅くなる、レイアウトが大きく崩れて表示されるといった表示エラーが起こる
- WordPress管理画面に身に覚えのないユーザーが登録されている
これらの症状がみられるときはマルウェアに感染している可能性があり、早急に対応する必要があります。
WordPressマルウェア スキャン方法
WordPressマルウェアに感染していないかスキャンする重要性
上記で示したような症状が出ていることで、マルウェアに感染していることがわかる場合もありますが、実は知らないうちに感染していることもあります。
なので、定期的にマルウェアに感染していないかをスキャンし確認することが重要になってきます。
マルウェアに感染していないかをスキャンする方法として、ウイルス対策ソフトを入れたり、OSやブラウザといったソフトウェアをアップデートしたりするほか、セキュリティプラグインを入れる方法があります。
ウイルス対策ソフトやOSソフトウェアを使用する注意点
ウイルス対策ソフトやOSソフトウェアを導入することで効果的にウイルスからの攻撃を防いでくれる効果がありますが、マルウェアは日々進化しています。
莫大な数のマルウェアの侵入を防ぐためには常にソフトウェアを最新に保っておくことが重要です。
手動で更新を行うこともできますが、スケジュール設定から自動更新するよう設定を変更しておくとことで、更新を忘れてしまっても常に最新のソフトウェアを使用でき安心です。
セキュリティプラグインを使用する
上記で紹介したように、ウイルス対策ソフトやソフトウェアを使用する方法以外に、セキュリティプラグインを使用する方法があります。
セキュリティプラグインのなかでも、
Wordfence SecurityはWordPressが推奨しているものになります。
今回はこのWordfence Securityについて紹介していきます。
Wordfence Securityのインストール方法
Wordfence Securityとはどのようなもので、どにようにインストールすればいいのでしょうか。
プラグイン名が英語でとっつきにくいと感じる方もいるかもしれませんので、
詳しくご説明します。
プラグイン Wordfence Securityとは？
まずは、Wordfence Securityの特徴についてです。
- マルウェアを自動検索
- 無料版と有料版があるが、無料版でも十分なセキュリティ対策機能あり
で、ハッキングはもちろんスパムコメントやウィルスからもサイトを守ってくれます。
初心者の方でも使いやすいプラグインですが、設定途中で挫折しないようスクリーンショットも交えながら一緒に設定を行っていきましょう。
インストールを開始する前に、グーグルの翻訳機能を日本語にしておきましょう。そのまま開始してしまうと英語表記でページが表示されてしまいます。今回の手順は翻訳後の画面で説明していきます。
①Wordfence Securityをインストールする
まず、ダッシュボードにある「プラグイン」を押します。次に「Wordfence Security」を検索し、「今すぐインストール」を押すと「有効化」に変わります。この「有効化」を押せば完了です。
②Wordfence Securityの無料ライセンスを取得する
Wordfence Security有効化後、「WORDFENCEライセンスを入手」を押します。
Wordfence freeの「無料ライセンスを取得する」を押します。
ポップアップが出てきますので、青いボタンの下にある「新たな脅威から保護されるまで30日間待つことに問題はありません」を押します。
上の「リアルタイム保護を希望します！」を押すと有料ライセンス購入画面へ遷移してしまうので注意してください。
Eメールアドレスを入力し、利用規約に同意後、「登録する」を押します。
Wordfence Securityから登録したメールアドレスに届いたメールより「Install My License Automatically」を押します。
クリックすると、WordPressの管理画面へと飛びますので、「ライセンスインストール」を押しましょう。
最後にこちらの画面が出てきたら設定完了です。無事に無料ライセンスが取得できました。
Wordfence Securityの設定方法
インストールが完了したら、次はファイアウォールの設定を行っていきましょう。
ファイアウォールはコンピュータネットワークで使用されるセキュリティ対策で、外部からの不正アクセスや攻撃を防ぐために設置されるソフトウェアやハードウェアのことを指します。マルウェアなどの脅威から情報セキュリティを守る役割を果たします。WordPressを守るために基本的な設定となりますので必ず行うようにしましょう。
①ファイアウォールを管理
WordPress管理画面のダッシュボードからWordfenceを選びます。
次に「ファイアウォールを管理」を押します。
ファイアウォールの管理画面へ移りると下部に「Web アプリケーションファイアウォールの状態」という欄がありますので設定を赤枠内のように「学習モード」へ変更します。また、「次のとき自動的に有効化:」の右横には日付を選択できるようになっていますので、１週間後の日付を入れておきましょう。
Wordfenceがブログやウェブサイトを分析し、保護する方法や訪問者をファイアウォールを通過させる方法を学習するのに1週間必要とします。
その後学習が終われば「学習モード」→「有効であり保護中」へと自動的に変わります。
②保護レベルの設定
続いて保護レベルの設定に入っていきます。
先ほどの「Web アプリケーションファイアウォールの状態」の右横「保護レベル」の「WORDFENCEファイアウォールの最適化」を押します。
すると画像のようなポップアップが出てきますので、「.HTACCESSをダウンロード」を押し、
「次へ」を押してください。
サーバー構成が正しく選択されていないとダウンロードが行われないことがあります。「次へ」を押せないときには変更し再度行ってください。
下のようなポップアップが出てきたらインストールが成功し、WORDFENCEファイアウォールの最適化が行われました。「閉じる」を押して元の画面に戻りましょう。
これで「変更を保存」を押せば、「ファイアウォールの基本設定」は完了です。
Wordfence Securityの自動更新設定
続いて自動更新設定を行います。この作業をすることにより、毎回更新を行わなくても自動で行ってくれるので作業を忘れてしまっても安心です。
それでは設定を行っていきましょう。
WordPress管理画面のダッシュボードから「すべてのオプション」を選びます。
続いて、「Wordfenceの一般的なオプション」から「新しいバージョンがリリースされたら、Wordfence を自動的に更新しますか ?」にチェックを入れ、変更を保存を押すと設定完了です。
この時、ついでに「WordPressのバージョンを隠す」をチェックを入れておきましょう。もし旧バージョンのままだった場合に、マルウェア標的にされやすくなってしまいますが、チェックを入れておくことで相手からわからなくなります。
Wordfence Securityのメール通知設定
最後にメールの通知設定を行います。
閲覧者が増えてくると、それだけマルウェア攻撃の標的となりやすくなってしまいますが、その度に通知が来てしまうと大変な数になってしまいます。
そこで、設定を行い重要度の高い攻撃を受けたときだけ通知が来るようにしておきましょう。
まず、先ほどの「Wordfence Securityの自動更新設定」を行うときに開いたWordPress管理画面のダッシュボードから「すべてのオプション」を選びます。
下のほうへスクロールしていくと「通知メールの設定」が出てきますので、
押すと写真のようなプルダウンメニューが出てきます。
プルダウンメニューのチェック項目は写真のようにするのがおすすめです。
- Wordfenceが無効化されたらメールで知らせる
- Wordfence Webアプリケーションファイアウォールがオフになっている場合にメールで通知する
- この深刻度レベル以上のスキャン結果を通知する:低
- 有効なユーザーに対して「パスワード紛失」フォームが使用されたらアラートする
- 管理者以外のユーザーがサインインしたときにアラートする
- サイトで検出された攻撃が大幅に増加したらアラートする
チェックをした後は「変更を保存」を押せば完了です。
Wordfence Securityの使い方
Wordfence Securityには
- 不正ログイン防止機能
- スキャン機能によるサイト内点検機能
があります。
では、それぞれの機能について詳しくみていきましょう。
①不正ログイン防止機能
WordPressに不正ログインされると、管理画面へのアクセスができなくなったり、データの漏洩やファイルの改ざんをされてしまいます。
Wordfence Securityには不正ログイン防止機能があり、未然に防ぐことができます。
では、どのように機能を設定すればいいのかみていきましょう。
まず、ブルートフォースアタックへの対策を設定しましょう。
システムの認証情報（ユーザー名やパスワードなど）を
力ずくで解読する攻撃手法のことです。
具体的には、可能なすべての組み合わせを試すことで、
正しい認証情報を見つけ出そうとします。
この攻撃は、特に短くて簡単なパスワードや、推測しやすいパスワードを使用している場合にハッキングされやすくなります。
WordPressの管理画面ダッシュボードにあるWordfenceを押します。
Wordfenceの管理画面ダッシュボードにある「すべてのオプション」を押します。
下にスクロールすると「ブルートフォース保護」がありますので押します。
するとプルダウンで設定画面がでてきますので、任意の数字に設定してください。
ここでの設定が、ログイン画面でブルートフォースアタックされた際、どのような条件で閉め出すかの設定となります。
「無効なユーザー名を即座にロックアウトする」では、「admin」を入力してください。
さらに下にスクロールして以下の項目にもチェックを入れましょう。
「変更を保存」を押せばブルートフォース保護の設定は完了です。
続いてreCAPTCHAの設定を行います。
ログイン時にreCAPTCHAを表示することで、
自動化されたツールによる攻撃を防ぐことができます。
reCAPTCHAはGoogleが提供しているサービスで、
Wordfenceと連携しておくことで機能します。
以下のURLから事前にreCAPTCHAへアクセスしておきましょう。
サイトキーやシークレットキーを取得出来たら、WordPressの管理画面ダッシュボードからWordfenceを選び、「ログインセキュリティ」を押してください。
下にスクロールしていくとreCAPTCHAの設定が出てきますので写真赤枠内のチャックや取得したサイトキー・シークレットキー、設定を行いましょう。
「変更を保存」で設定完了です。
ここまでの設定で十分不正ログインを防止することができますが、さらに安全性を高めたい場合は複雑なパスワードを使用したり、アカウントロックアウト機能や2段階認証機能を設置するといいでしょう。
②スキャン機能によるサイト内点検機能
Wordfence Securityにスキャン機能もあります。
スキャン機能はセキュリティを強化において非常に重要な役割を果たしています。
- マルウェアスキャン：サイト内のファイルやデータベースをスキャンし、既知のマルウェアや疑わしいコードを検出します。
- ファイルの変更検出：WordPressコアファイル、プラグイン、テーマのファイルが公式バージョンと異なる場合に通知します。これにより、不正な変更がすぐにわかります。
- 不正なURLの検出：サイトに埋め込まれた不正なURLや外部リンクを検出し、ユーザーが悪意のあるサイトにリダイレクトされるのを防ぎます。
- バックドアの検出：攻撃者がサイトにアクセスするために設置したバックドアを検出し、削除します。
- 脆弱性のチェック：使用中のプラグインやテーマの脆弱性をスキャンし、
既知のセキュリティホールを特定します。 - スパムの検出：コメントや投稿の中に含まれるスパムを検出し、
サイトの品質を保ちます。
それでは、スキャン機能の使い方をご説明します。
ここまで設定続きで疲れているかもしれませんが、非常に重要な機能ですので最後にこちらを必ず行ってください。
WordPressのダッシュボードからWordfenceのメニューにアクセスし、
メニューに「スキャン」があるので押します。
「新しいスキャンを開始する」ボタンをクリックして、手動でスキャンを開始します。
また、自動スキャンのスケジュール設定も可能です。
自動スキャンを設定する場合は、上記画面の右側「スキャンオプションとスケジューリング」を押します。「スキャンのスケジューリング」を押すとプルダウンして画面のような設定がでてきますので、「Wordfenceのスキャンをスケジュールする」を「有効」にしておきましょう。
続いてスキャン結果についてです。
スキャンが完了すると、検出された問題がリストアップされます。チャックマークがついていれば問題なし、注意マークがついていれば問題ありとして各項目にの詳細情報を確認し、適切な対策を講じます。
もし、マルウェアや不正なファイルが検出されたときは、Wordfenceのガイドに従って修正または削除しましょう。
WordFenceやその他WordPressのプラグイン系のセキュリティスキャンは
１：WordPress内
２：WordPressが入っているディレクトリと同じフォルダ
しかスキャンによるは検出できません。
WordPressより上のディレクトリのスキャンや駆除は出来ないので注意してください。
全部消したと思っても再感染するのはこのためです。
サーバー内を必ず確認してください。
まとめ
本記事では、WordPressマルウェア感染時の症状や、スキャン方法、Wordfence Securityのインストール方法や設定方法、使い方についてご紹介しました。
自分の個人情報を守るだけでなく、自分のサイトからお客様のパソコンがハッキングされ個人情報が流出しないよう事前に対策することは非常に重要です。
設定段階が多く大変かもしれませんが、最後までやりきるようにしましょう。
ワードプレスのマルウェアが直せない時や
トラブルでWordPress復旧ができないときは
ワードプレスのWordPressエラートラブル解決をしたいなら
クイックレスキューが解決します。
・WordPressが真っ白画面
・WordPressがログインできない
・ホームページのマルウェアや乗っ取り
・サイトの表示くずれ
・エラーが表示されている
これらでお悩みなら最短30分ですぐに解決します！
いまなら期間限定で
・万一改善されない場合は全額返金保証で安心!
・30日間動作保証で安心!
・調査料、キャンセル料 0円で安心!