改ざん検知・不正ファイル検出への対応

まずやってはいけないこと

通知が本物かは、メールの中のリンクからではなく、契約しているサーバー会社の管理画面か公式サイトで確かめてください。サーバー会社を装った偽の通知もあり、メールのリンクから開いた画面でパスワードを入れると、そのまま盗まれます。

検知されたファイルを削除すれば解決したと判断するのは避けてください。攻撃者は検知されにくい場所（正常なシステムファイルの中など）にも数行の不正コードを仕込んでいることがあり、表面のファイルだけを消しても、残った裏口から再侵入されて同じ改ざんが繰り返されることがあります。

詳細を確認しないまま全データを削除して作り直すことも避けてください。攻撃者がいつどこから侵入したかを調べる材料が減り、経路の特定が難しくなります。アクセスログや認証記録が別に残っていれば追えることもありますが、消したあとに戻すことはできません。まずは改ざんされた状態のまま保全することが先です。

削除しても再発するのは、入口と結果を取り違えているためです。通知に出るのは、侵入した結果として置かれたファイルです。入口は、更新していないプラグインの弱点や、盗まれた管理画面のパスワードなど、別のところにあります。結果だけを消しても入口は残るため、同じ手順でまた置かれます。

数日で戻るなら、入口が開いたままか、取り切れていない仕掛け（残った裏口や、決まった時刻に動く処理）が残っています。削除の作業そのものより、どこから入られたかを確かめるほうが先です。

警告文面のパターンと原因

サーバー会社の通知は「改ざんを検知しました」「不正なファイルを検出しました」「マルウェアの疑いがあります」など表現が分かれますが、どれも、攻撃者が置いたとみられるファイルがサーバーの中に見つかったことを知らせています。その一つが、WebShell（外部からサーバーを操作するためのプログラム）です。まずメール全文と記載されたファイルの場所（パス）を控えてください。

置かれたWebShellは、改ざんファイルの再設置だけでなく、偽CAPTCHAを使った踏み台化など、閲覧者を狙う別の攻撃に転用されることもあります。

移すもの、入れ替えるもの、残すもの

通知に並んだファイルと、サーバーに残る記録は、すべてが同じ扱いではありません。次の区別は、残すべきものを消さず、依頼のときに状況を伝えるための目安です。実際に移したり入れ替えたりするのは、依頼の後です。

• 攻撃者が追加したとみられるファイルは、消さずに公開領域の外へ移す：移す前に、サーバー上のファイルとデータベースの現状の複製を取る（下の「保全」の手順。順番を動かさない）。通知に載ったファイルのうち、公式の配布物に無く、攻撃者が置いたとみられるものが対象。いつ、どこから入られたかを調べる材料になる。消すと材料が一つ減り、入口を見つけられないまま塞げないことがある。公開領域に置いたままにすると、外から開かれて動き続ける。正規のファイルに数行を仕込まれたものは、移すとサイトが表示されなくなるため、複製を保全したうえで、下の「公式の配布物と同じだと確かめられる部分」か「判断が要る」ものの扱いに回す。
• サーバーの記録も残す：アクセスログは保存期間を過ぎると消える。エックスサーバーの公式マニュアル（2026年8月時点）では、過去30日分を日別に生成すると案内されている。侵入は改ざんより前のことがあるため、残っている範囲をすべて、先に別の場所へ複製しておく。
• 公式の配布物と同じだと確かめられる部分は入れ替えの候補になる：WordPress本体と、公式ディレクトリから入れた無変更のプラグインが該当する（有料配布や、自分で手を入れたものは対象外。入れ替える前に、変更を加えていないかを確かめる）。配布元が不正なコードの混入を告知した版は、同じ版で入れ替えても残るため対象外。
• テーマ・アップロード先・設定ファイルは判断が要る：自分で手を入れたテーマは、上書きすると変更が消える。画像を置く場所に紛れ込んだプログラムは、見た目では区別しにくい。mu-plugins のように自動で読み込まれる場所も同じ。.htaccess や wp-config.php のような設定ファイルは公式の配布物に無いため入れ替えられず、身に覚えのない記述を見分ける必要がある。

追加されたものかどうか判断に迷うファイルも、消さずに複製を取っておきます。移す場合、移す先は公開領域の外で、外部から開けない場所にします。公開領域の中で場所を変えただけでは、URLをたどられて実行される余地が残ります。

サーバー会社の管理画面に、通知されたファイルを隔離する機能がある場合も、隔離は移す作業にあたるため、依頼の後に順番を決めてから使います。隔離の仕様は事業者ごとに違うため、削除ではなく隔離であることと、元に戻せるかを、事業者の説明で確かめておいてください。

移動と保全は別の作業です。調査用の複製は、公開しているサーバーとは別の場所に取ってください。同じサーバー内に置いたままだと、復旧作業のなかで一緒に消えることがあります。

初動チェック項目

このうち保全とパスワードの変更は、初動チェックリストの「改ざん検知を受けたとき」の項目と重なります。チェックリストには、通知に載ったファイルの場所を控えることと、訪問者が別サイトへ転送されていないかの確認も入っているので、あわせて確かめてください。

保全を最初に置く理由ははっきりしています。あとの作業で記録が上書きされ、いつ何が起きたのかを追えなくなるためです。ここだけは順番を動かさないでください。

パスワードの変更は、保全に続けて行います。ただし、パスワードを変えても、攻撃者がすでに開いている接続や、別に発行された鍵が残っていれば入り直せます。侵入の入口が脆弱性なら、パスワードを変えても入口は開いたままです。データベースのパスワードを変えるときは、接続の設定も同時に直さないとサイトが表示されなくなります。不正なファイルを取り除き終えたら、パスワードをもう一度変えてください。WordPress公式の「FAQ My site was hacked」も、侵害に気づいたときに変えただけなら、クリーンになった後にもう一度変えるよう案内しています。

公式配布データでの置き換えと書き込み権限の制限は、どこから入られたかによって順番が変わります。入口が分からない段階で順番を固定すると、変えた直後にまた同じ状態へ戻ることがあります。依頼の前に済ませるのは、保全と、初動チェックリストにあるパスワードの変更までです。移す、入れ替える、書き込み権限を絞る作業は、依頼の後に順番を決めて進めます。先に進めると、ファイルの更新日時やサーバーの記録が作業で上書きされ、複製に入らなかった手がかりが失われます。緊急対応では、原因の追及と並行して、検証用の環境でサイトを作り直します。

特に急ぐ状態

訪問者が不審なサイトへ転送されている。サーバー会社から対応期限や凍結予告が示されている。自分で削除したが再発した。このいずれかに当てはまる場合、被害は進行中で、特に急ぐ必要があります。

当てはまらない場合でも、通知に載ったファイルの場所に心当たりがなく、いつ置かれたのかも分からないなら、自力での切り分けは難しい状態です。作業を進めるほど記録が上書きされるため、手を止めて相談すれば、記録が残っているうちに調べられます。

緊急対応では、初期調査・切り分け（55,000円、税込）で侵入経路の特定を試み、原因の見立てと復旧の方針をまとめます。調査の後にお送りする見積書に申し込まれた場合に、復旧実対応（110,000円〜、税込）を行います。初期調査だけを申し込むこともできます。受託の後に、被害が広がらないようサイトの公開を止めます（申し込みのときに、止めずに続けることも選べます。その場合、公開を続けたことにより広がった被害は、当方の作業が原因の場合などを除いて、当方の責任の対象外です）。復旧できなかった場合、実対応費は原則として請求しません（初期調査料はかかります。行った作業の割合に応じた額をいただく場合の条件は緊急対応サービス約款第11条で公開しています）。