WordPressが改ざんされたら：最初の24時間の対応

何であるのか

WordPressの侵害とは、通常、何者かがファイル、データベース、ユーザーアカウントを変更できる状態になったことを意味します。よくある兆候には、身に覚えのない管理者ユーザー、見慣れないプラグインやファイル、挿入されたJavaScript、検索エンジンにインデックスされたスパムページ、一部の訪問者にだけ発生するリダイレクト、送信されるスパムメール、ブラウザや検索エンジンからの警告などがあります。よくある侵入経路は、古い、または開発が終了したプラグインやテーマ、使い回しや脆弱なパスワード、漏えいしたホスティングやFTPの認証情報、安全でないファイルパーミッションです。最初の24時間で行うべきことは、何が起きているかを確認し、さらなる被害を抑え、記録を残し、適切なクリーンアップに備えることです。ファイル単位の詳細なクリーンアップは、その後の独立したステップとして行います。

誰のために

このチェックリストは次のような方のためのものです。

• 専任のセキュリティチームを持たずにWordPressサイトを管理している経営者やマーケティングチーム
• 侵害の報告を受けたばかりのクライアントサイトを支援している制作会社
• ホスティングの停止通知やブラウザの警告を受け取った社内IT担当者
• クリーンアップ作業の開始前に、事業者へ状況を明確に伝える必要があるすべての方

明確にするのに役立つこと

チェックリストに沿って進めることで、次の点が明確になります。

• サイトが実際に侵害されているのか、それとも設定やプラグインの不具合なのか
• 何が、いつ変更され、どのアカウントが関係している可能性があるか
• ホスティング、ドメイン、DNS、バックアップを誰が管理し、誰が変更を承認できるか
• 顧客データや決済フローが影響を受けている可能性があり、別途対応が必要か

含まれる内容

• 0〜2時間：何に、いつ、誰が気づいたかを書き留め、警告、リダイレクト、見慣れないページのスクリーンショットを撮る
• 0〜2時間：ホスティング、ドメインレジストラ、DNS、CDN、WordPress管理画面を誰が管理しているかを特定する
• 1〜4時間：ファイルとデータベースを現状のまま完全にコピーし、別の場所に保管する。古いバックアップは上書きしない
• 1〜4時間：訪問者に被害が及んでいる場合は、サイトをメンテナンスモードにする、またはホスティング事業者にアクセス制限を依頼することを検討する
• 2〜6時間：クリーンな端末から、ホスティング、FTP/SFTP、データベース、WordPress管理者のパスワードを変更し、可能な場合はMFAを有効にする
• 2〜6時間：WordPressのユーザーを確認し、身に覚えのないアカウントを削除または無効化し、削除した内容を記録する
• 4〜12時間：取得可能なサーバーのアクセスログとホスティングのセキュリティ通知を収集する
• 6〜24時間：メモ、ログ、バックアップのコピーを添えて適格な事業者に状況を伝え、クリーンアップのスコープを合意する

含まれていないもの

• マルウェア除去のコマンドや、バックアップなしでコアファイルを編集する手順
• データ侵害の通知が必要かどうかに関する法的助言
• パスワードの変更だけで侵害が解決するという主張
• 攻撃者への接触や報復を勧めること

それを選ぶべきとき

侵害が疑われたら、ファイルの削除やバックアップの復元を始める前に、すぐにこのチェックリストを使ってください。サイトで決済を処理している、または顧客の個人データを保存している場合は、プライバシーと法的義務の担当者に早い段階で関与してもらってください。通知義務は事実関係と法域によって異なり、本記事は法的助言ではありません。ホスティング事業者がアカウントを停止している場合は、アクセスを回復するために何が必要か、利用できるログを保有しているかを問い合わせてください。

私たちのアプローチ

見た目のクリーンアップの速さよりも、封じ込めと記録の保持を優先してください。見た目が元に戻ったサイトでも、攻撃者が数日のうちに再侵入できるバックドアが残っている可能性があります。侵入経路を塞がずに古いバックアップを復元すると、再感染につながることがよくあります。初期対応が完了したら、クリーンアップではファイル、データベース、ユーザー、スケジュールされたタスク、サーバー設定を対象とし、その後に侵入経路の封鎖とハードニングを行います。当社のIncident Recovery サービスでは、合意したWebサイトまたはWordPressの問題の初期レビューと分類、実作業による封じ込め、悪意あるコード・バックドア・不正ユーザーのクリーンアップ、安全な復元、特定した侵入経路の封鎖、そしてハードニングの推奨事項を含む報告書の提出を行います。これは確認済みのWebサイトを対象にスコープを定めた作業であり、法的判断は貴社の法律顧問が担います。誰に支援を依頼する場合でも、何を見つけ、何を変更したかを説明してもらい、その報告書をご自身のメモと一緒に保管してください。

Incident Recovery

よくある質問

関連記事