検索結果がスパムに乗っ取られたWordPress不正ページ生成の実例と対策

被害の概要

大量スパムページによる検索エンジン乗っ取り

攻撃の手口と侵入経路

典型的な攻撃パターン

• サーバー上に 隠しディレクトリ（例：/wp-includes/xxxxx/） を作成
• .htaccess を書き換えて、該当URLへのアクセスを正規ページのように偽装
• サイトの「404 Not Found」や「robots.txt」を悪用して検索エンジンに偽のページを登録
• WordPressの脆弱なプラグインやテーマが侵入口になっていたと考えられる

復旧のために行った対応

• Google Search Consoleでインデックス状況を確認
  → 「URLの削除」機能で不正URLを申請
• 不審なディレクトリ・ファイルの洗い出しと削除
  → FTPやSSHで /wp-content/・/wp-includes/ を中心に調査
• .htaccessの確認・修正
  → 不正なリダイレクトやRewriteRuleを削除
• 全ファイルとDBのバックアップからクリーン復元
  → 信頼できる時点のバックアップへ復旧
• WordPress・テーマ・プラグインのすべてを最新に更新
• WAF（Web Application Firewall）の導入・設定見直し
  → サーバー側・プラグイン（例：SiteGuard）ともに強化

再発防止策

• プラグイン・テーマは不要なものを削除＆信頼性のあるものだけ使用
• WordPressの自動更新はON、または週1回手動更新のルール化
• 定期的に site:ドメイン名 で検索インデックスの異常をチェック
• WAFのログを確認し、国外からの不審アクセスを遮断
• 定期的にバックアップを取得し、リストアテストも実施

まとめ

今回のような改ざん被害は、放置すればするほど被害が拡大し、SEOや信頼性に大きなダメージを与えます。とくにGoogleに不正ページがインデックスされると、検索順位の大幅下落やペナルティの対象となることも。

WordPressサイトの運営者は、「セキュリティ＝一度守れば終わりではない」という意識を持つことが重要です。