これまでに1000サイト以上のハッキングされたWordPressサイトを診断してきました。WordPressは世界中で広く使われている便利なCMSですが、その反面、セキュリティ面では弱点を狙われやすいというリスクがあります。では、実際にWordPressがハッキングされた場合、どのような事態が起きるのでしょうか？画面が真っ白になったりログインができないというのは目に見える表の症状で、実は、その裏側で起きている事が危険であり重要な事象なのです。今回は、実際の事例を基に、軽度から重度までのハッキング被害の具体例を紹介します。
表に出る代表的な症状
まずは表にでる代表的な症状（事象）をお知らせします。目に触れる事なので分かりやすい症状です。弊社に修復依頼が来る際は、下記のいずれかの症状を訴えてこられます。
- 画面が真っ白になる：ハッキングによって画面が真っ白になり、サイトが何も表示されなくなることがあります。これはバックエンドが破損している場合によく見られる症状です。
- 海外のサイトに勝手にリダイレクトされる：訪問者が自分のサイトにアクセスすると、勝手に海外の怪しいサイトに飛ばされるケースもあります。
- ログインできない：管理者アカウントにアクセスできなくなり、ログイン自体ができなくなることもあります。これはハッカーが管理者権限を乗っ取ったことを意味します。
- エラー表示が出る：サイトにエラー表示が頻繁に出るようになり、正常に動作しなくなることもあります。
- バックドアが仕掛けられる：ハッカーが「バックドア」を仕掛けておき、再び簡単に侵入できるようにします。これが放置されると、ハッカーが何度も侵入してくる恐れがあります。
- 検索結果に知らないサイトが表示される：検索エンジンにだけ改ざんされた内容が表示される「グローキング」という手口もよく使われます。
ハッキングされたら直面するケース
これらは
- サーバー会社がサイトを動作停止にする：ハッキングによってサーバー会社が危険な動作を検知し、サイトを一時的に停止することがあります。これにより、さらに深刻な被害が広がるのを防ぐ措置が取られる場合があります。
- パスワードが盗まれる：管理者やユーザーのパスワードがハッカーによって盗まれることがあり、それによってさらなる侵入や情報漏洩のリスクが高まります。
- アカウントが乗っ取られる：管理者アカウントがハッカーに乗っ取られ、完全に支配されるケースもあります。これにより、サイトが全く管理できなくなる可能性があります。
- JavaScriptや画像ファイルに偽装ファイルが仕込まれる：JavaScriptや画像ファイルに偽装されたスパムファイルが仕込まれ、発見が遅れることがあります。その間にスパムが拡散し続け、サイトの評判が大きく損なわれるリスクがあります。
- データベースにスパムが仕込まれる：データベース内にスパムが注入され、サイト全体がスパム行為を行う拠点にされることもあります。
さらに、多くのケースでは、慌てて対処しようとする中で誤って重要なデータを削除してしまったり、適切な対応をしないために問題が一向に解決しないことが少なくありません。このような場合、結果としてさらに被害が拡大し、専門家への依頼が必要になります。
重症なケース
これらはハッキングの中でも最も深刻なケースです。迅速な対応が求められますが、完全に修復するには時間とコストがかかることもあります。
- サーバー内のサイトが全滅（マルウェア感染）：サーバー内の他のサイトにも感染が広がり、複数のサイトが同時に動作不全に陥ることがあります。これはマルウェアがサーバー全体に広がることで引き起こされます。
- データが全て消える：最悪の場合、サイトの全てのデータが削除されてしまうことがあります。バックアップがない場合、このような事態からの復旧は非常に難しくなります。
- 登録者に勝手にスパムメールが送信される：顧客や登録者に大量のスパムメールが自動で送信されることもあります。このような事態は信用を失うだけでなく、法的な問題を引き起こす可能性もあります。
- 個人情報が盗まれる：最も深刻なのは、顧客の個人情報がハッカーに盗まれることです。これにより企業の信頼が損なわれ、訴訟問題に発展することもあります。
ハッキングは決して他人事ではありません。KADOKAWAがサイバー攻撃を受けたように、どんな企業や個人でも、常にハッキングのリスクにさらされています。特にWordPressサイトは脆弱性が狙われやすく、バージョンアップを怠ることでそのリスクはさらに高まります。
また、サーバーがレンタルの場合、他の利用者と同じサーバーを共有しているため、感染が広がりやすいという特徴もあります。つまり、レンタルサーバーは集合住宅のようなもので、一度感染が広がると他のサイトにも被害が及ぶ可能性があるのです。さらに、レンタルサーバーによっては、セキュリティ情報がハッカーに読まれ、総攻撃を受けるケースも少なくありません。
まとめ：専門家に頼むのが一番
WordPressのハッキングは非常に多様で、軽度なものから深刻なものまで様々なケースがあります。自分で対処できる場合もありますが、多くのケースでは専門的な知識やツールが必要です。慌てて対応してデータを消してしまったり、何度試しても解決できない場合、専門家に依頼するのが最も安全で確実な方法です。
サイトのセキュリティをしっかりと強化し、万が一の事態に備えるためにも、早めの対策と専門家への相談をお勧めします。
