1. WordPressが不正アクセスされた時の初期対応フロー【被害拡大を防ぐ】
突然自社のWebサイトが真っ白になったり、見知らぬ英語の画面にすり替わっていたりすれば、誰でも血の気が引くものです。
しかし、ここでパニックになって適当なボタンを押したり、ネットの断片的な情報で自力復旧を試みたりするのは、絶対に避けてください。
不正アクセス発覚直後の初動で被害規模は決まります。まずは深呼吸をして、以下のフローに従って冷静に現状を保全してください。
1-1. 自力で触ってはいけない危険なサイン（ログイン不能・改ざん画面）
以下の症状が一つでも出ている場合、すでにWordPressの根幹（コアファイルやデータベース）がマルウェアに侵入・改ざんされている可能性が極めて高い状態です。
- サイトのトップページが真っ白（White Screen of Death）になっている
- 見知らぬ海外サイトへのリダイレクト（自動転送）が起きる
- WordPressの管理画面（/wp-admin）に正しいパスワードを入れてもログインできない
- サイト上に「Hacked by 〇〇」といった身に覚えのないメッセージが表示されている
これらのサインが出ている場合、「管理画面から怪しいプラグインを消す」「テーマを再インストールする」といった表面的な操作は無意味どころか有害です。
素人判断でファイルを上書きすると、「どこから侵入されたのか（脆弱性の特定）」や「顧客情報が漏洩した痕跡」という重要な証拠データまで消滅させてしまうからです。
1-2. 今すぐ行うべき応急処置（サーバー停止・現状記録・関係者連絡）
危険なサインを確認したら、被害をこれ以上拡大させない（二次被害を防ぐ）ための応急処置を即座に行います。
① 被害状況のスクリーンショットを撮る
まずは現状の画面（改ざんされたページ、エラーメッセージなど）をすべてスクリーンショットで保存してください。これが復旧時や報告時に重要な証拠となります。
② サーバー会社または保守担当者への即時連絡
自社でサーバーを管理している場合は、直ちにコントロールパネルから「Webサーバーの停止（非公開化）」を行ってください。被害が顧客へ及ぶのを物理的に遮断します。
やり方が分からない場合は、制作会社やサーバー会社に「至急サイトを非公開にしてほしい」と電話で直接指示を出してください。メールでの連絡はタイムラグが命取りになります。
2. なぜ中小企業サイトが狙われるのか？現場で起きている「保守放置」のリアル
「うちは地方の小さな会社だし、狙われるような機密情報もないから大丈夫」
そう思われがちですが、攻撃者の大半は自動化されたプログラムを使い、インターネット上のWordPressサイトを手当たり次第にスキャンして「放置された脆弱性」を探し回っています。
2-1. 「作ったきり」のWordPressが格好の標的になる理由
中小企業のWebサイトが狙われる主な目的は、海外への不正スパムメールの大量送信や、偽ショッピングサイトへのリダイレクト中継地（踏み台）として悪用することです。
WordPress本体やプラグインは毎月のように脆弱性が発見されますが、「バージョンアップすると画面が崩れるかもしれない」という恐怖から何年も放置されているサイトが後を絶ちません。
2-2. 相談事例：制作会社と連絡がつかず、真っ白な画面の前で途方に暮れた現場
地方の製造業A社様のご相談は、まさにこの「保守放置」が招いた典型的なトラブルでした。数年前に格安でサイトを制作したものの、保守契約は結ばず運用を続けていました。
ある日突然サイトが真っ白になり、当時の制作会社へ連絡を入れたものの「保守契約がないため緊急対応はできない」と断られ、担当者様は孤立してパニックに陥っていました。
駆け込まれた際、私たちが行ったのはまず「何が起きていて、何が起きていないのか」を冷静に切り分けることでした。アクセスログから侵入経路を特定し、顧客情報流出の痕跡がないことを提示しました。
最悪の事態は免れているという客観的事実によりパニックは鎮まり、その後サイトは無事に復旧。現在はプロに任せる月次チェック体制へと移行し、安全に運用を継続されています。
【自社サイトの現状診断・緊急復旧のご相談】
「管理画面に入れない」「制作会社と連絡がつかない」「自社でどこまで被害が出ているか分からない」とお困りのWeb担当者様へ。パニックになる前に、まずは現在の被害状況を客観的に診断いたします。
3. WordPressを安全に復旧させるプロの作業プロセス
ネットで検索すると「バックアップを上書きすれば直る」といった情報が多く見つかりますが、表面的なファイル削除だけで済ませたサイトの多くは数週間以内に再び改ざん被害に遭っています。
プロの復旧作業では、「再侵入の抜け道（バックドア）を完全に潰す」ために以下のプロセスを論理的に踏んでいきます。
3-1. 被害範囲の特定とバックドア（再侵入口）の完全駆除
攻撃者は一度侵入すると、正規のプログラムに偽装したバックドア（裏口ファイル）を複数箇所に仕掛けます。そのため、目視だけで怪しいファイルを消しても意味がありません。
サーバー内の全ファイルとWordPress公式の正常なファイルを専用ツールで差分照合し、埋め込まれた不正なコードを1行単位で洗い出して根絶します。
3-2. バックアップデータの検証と安全なロールバック
不正アクセスは発覚の数ヶ月前から静かに侵入されているケースが多く、直近数日分のバックアップ自体がすでにマルウェアに汚染されている危険性があります。
アクセスログから「いつ最初の侵入が行われたか」を正確に突き止め、確実に汚染されていないクリーンなバックアップを特定した上で、安全に巻き戻し（ロールバック）を行います。
3-3. コア・プラグインの最新化とセキュリティ設定の再構築
データを巻き戻して表示を直しただけでは、侵入を許した「セキュリティの穴」は開いたままです。WordPress本体と全プラグインを最新バージョンへアップデートします。
さらに、管理画面へのアクセス制限（IP制限）やWAFの有効化など、外部からの機械的な不正侵入を物理的に弾く防壁を再構築して初めて復旧が完了します。
4. 二度と乗っ取らせないための「身の丈に合った」保守運用
不正アクセスの9割以上は「放置された既知の脆弱性」を機械的に狙ったものです。背伸びをせず、毎月決まった基本プロセスを淡々と回し続けることこそが最大の防御になります。
4-1. 高額なツールは不要。中小企業が最低限押さえるべき月次ルーティン
中小企業がサイトを守るために必要なのは、「月1回のバックアップ検証とバージョン更新」「不要なプラグインの削除」「管理画面ユーザーの棚卸し」の3点です。
このルーティンを定着させるだけでも、自動化プログラムによる無差別攻撃の大部分を遮断できます。
4-2. 外部パートナーに伴走を頼むべき境界線
その判断基準は、「プラグインのアップデートで画面が崩れた際、自力で原因を突き止めて元の状態に戻せるか」という1点に尽きます。
何か起きてからスポット復旧で数十万円の突発費用と顧客の信用を失うリスクに比べれば、月々の定期的な保守サポートを受け、トラブルの芽を未然に摘み取っておく方が事業運営として最もコストパフォーマンスが高くなります。
5. WordPressの不正アクセス・復旧に関するよくある質問
Q1: バックアップを一度も取っていませんが、元に戻せますか？
サーバー側の自動バックアップが残っていれば復旧の可能性はありますが、それも汚染されている場合は初期化が必要です。まずは現状調査をご依頼ください。
Q2: 復旧にかかる費用や期間の目安はどのくらいですか？
中小企業サイトのスポット復旧で10万〜30万円、期間は数日〜1週間程度が目安です。根本解決にはその後の継続的な保守が不可欠です。
Q3: 個人情報の漏洩があったかどうかはどのように調査しますか？
サーバーのアクセスログを解析し、データベースへの不審なアクセス履歴やデータ転送の痕跡を追跡します。これが報告の根拠となります。
Q4: 取引先や警察への報告はどこまで行うべきですか？
個人情報流出の可能性がある場合は個人情報保護委員会へ、踏み台として他社へ攻撃を行った可能性がある場合は警察への相談が必要です。
Q5: 復旧後、社内の非エンジニアでもできる日常の予防策はありますか？
強固なパスワードへの変更と、退職者アカウントの即時削除です。システムの更新作業はプロに任せ、社内では人的な鍵の管理を徹底してください。
6. トラブルからサイトを守るためのNext Action
【今すぐできること（難易度：低）】
現在のサイトの被害状況（真っ白な画面や改ざんされたページ、エラー文言）をすべてスクリーンショットで保存してください。重要な証拠となります。
【少し準備が必要なこと（難易度：中）】
契約しているサーバー会社へ連絡し、「自動バックアップ機能が動いているか」「直近のデータはいつか」を確認してください（自力での復元はNGです）。
【本格検討すること（難易度：高）】
復旧作業だけでなく、二度と改ざんされないための「月次保守体制」を任せられる専門パートナーへ相談し、運用体制の外部委託を検討することです。
【Webサイトの不正アクセス復旧・セキュリティ保守体制の見直し相談窓口】
「自社の被害状況が把握できない」「今の制作会社では保守対応してくれない」とお悩みの経営者様・ご担当者様へ。地方中小企業の実情に合わせた、無理のない復旧・保守プランをご提案します。
