想像してみてください。ある朝、WordPressサイトの分析を確認していて、何かがおかしいと感じます。トラフィックが減少し、サイトが偽デザイナーバッグから疑わしい医薬品まであらゆるものを販売するスパムリンクでいっぱいになっていることを発見します。😱
私たちはクライアントのウェブサイトでこれを直接見てきました。実際、私たちはウェブサイトが一夜にしてスパムだらけの惨状に変貌したクライアントを支援しました。
彼らのビジネス上の評判全体が危機に瀕していましたが、私たちはそれをクリーンアップし、セキュリティを確保し、通常の状態に戻しました。そして、あなたにも全く同じ方法を示すつもりです。
問題の発見とクリーンアップから、将来にわたってサイトを保護する方法まで、すべてを網羅します。
この包括的なガイドでは、WordPress におけるスパムリンクの注入について知っておくべきすべてを説明します。
スパムリンクインジェクションとは何か、そしてなぜ気にする必要があるのか？
ハッカーは、コンテンツへの不正アクセスを許可された場合、WordPressサイトにスパムリンクを注入することができます。
デジタル落書きのようなものだと考えてください。見た目が悪いだけでなく、サイトの評判やパフォーマンスを深刻に損なう可能性があります。
サイトが感染すると、迷惑なスパムリンクだけの問題ではありません。検索エンジンのランキングが低下し、貴重なトラフィックや潜在顧客を失う可能性があります。
Googleが侵害されたサイトを一時的にブラックリストに登録したために、ビジネスが数千ドルもの収益を失ったケースを見てきました。
最悪なのは？これらのリンクの多くは通常の訪問者には見えませんが、検索エンジンには完全に表示されます。白いテキストに隠されていたり、フッターに tucked away されていたり、巧妙なコードでマスクされていたりする場合があります。🕵️
これらの攻撃がどのように機能するかを理解することが、サイトを保護するための第一歩です。このガイドでは、ウェブサイトを段階的にクリーンアップする方法を説明します。
さあ、始めましょう！
- ステップ 1. スパムリンクの検出
- ステップ 2. WordPress からスパムリンクを削除する
- ステップ3. 検索と置換ですべてのデータベースクリーンアップ
- ステップ4. WordPressテーマおよびプラグインファイル内のスパムリンクのクリーンアップ
- ステップ5. クリティカルファイルをクリーンアップする
- ステップ6. クリーンアップ後のサイトのセキュリティ設定
- ウェブサイトのセキュリティを取り戻す
- ボーナスリソース：WordPressセキュリティ
⚠️ 警告: 適切な知識なしにハッキングされたサイトのクリーンアップを試みると、データの損失や問題の悪化につながる可能性があります。自分でサイトをクリーンアップすることに不安がある場合は、WordPressセキュリティの専門家を雇うことを検討してください。
ステップ 1. スパムリンクの検出
隠された悪意のあるコンテンツを発見するために私たちが使用するプロセスを順を追って説明します。これを行うにはいくつかの異なる方法がありますが、何も見逃さないように、これらのアプローチをすべて試すことをお勧めします。
オプション 1: Google Search Console を使用してスパムリンクを見つける
Google Search Consoleは、スパムリンクを検出するための最初の防御線です。これは、サイト所有者が検索結果でのウェブサイトのパフォーマンスを確認できるGoogleの無料ツールです。
多くの洞察を提供し、Google検索でのサイトの健全性を検出するのに役立つ優れた診断ツールを備えています。まだ設定していない場合は、Google Search Consoleの完全なチュートリアルをご覧ください。
設定が完了したら、次に実行する必要があることは次のとおりです。
まず、Google Search Console にログインしてサイトを選択します。次に、左側のサイドバーにある「セキュリティと手動による対策」タブに移動します。
ここでは、「不自然なリンク」や「スパムコンテンツ」に関する警告がないか確認する必要があります。
「問題は検出されませんでした」と表示されても、必ずしもウェブサイトがクリーンであるとは限らないことに注意してください。Googleがまだフラグを立てていないスパムリンクがまだ存在する可能性があります。
次に、「リンク」レポートを確認して、不審なパターンを特定する必要があります。
これらのレポートに表示される疑わしいドメインやリンクテキストを探す必要があります。疑わしいとは、認識できず、信頼できると確認できないドメインからのものであることを意味します。
オプション 2. 手動でのサイトチェックによるスパムリンクの検出
ハッカーは痕跡を隠すことに創造的です。最近、クライアントのサイトで、ページ全体を選択した場合にのみ表示される不可視テキストを使用して隠されたスパムリンクを見つけました。
一般的な隠し場所としては、フッター、正当なコンテンツ内（特に古い投稿）、ウィジェットエリア、テンプレートファイルなどがあります。
ウェブサイトのソースコードを手動で確認することで、スパムリンクが見つかることがあります。
💡プロのヒント: ブラウザの「ソースの表示」機能を使用して、ソースコードに隠されたスパムリンクがないか確認してください。
エンコードされている、またはぐちゃぐちゃに見えるコードには特に注意してください。それはしばしば危険信号です。🚩
これらのリンクを見つけるもう一つの方法は、Googleの検索結果でウェブサイトのインデックスされたページを確認することです。
サイトが実際にスパムに注入された場合、結果を確認すると、奇妙なメタディスクリプションのリンク、製薬関連のキーワードのページ、または外国語の文字が表示されることがあります。
ウェブサイトでこれらのスパムリンクを見つける問題は、それらを削除または削除しても常に機能するとは限らないことです。さらに、このプロセスは非常に時間がかかる可能性があります。
これらのスパムリンクを引き起こしている悪意のあるコードを見つける方が、より迅速かつ効果的です。次のセクションでその方法を説明します。
オプション3.セキュリティスキャナーを使用して悪意のあるコードとリンクを特定する
Sucuri や Wordfence のようなセキュリティプラグインは、サイトを積極的にスキャンし、問題を自動的に検出できます。
これらのツールは、変更されたコアファイル、疑わしいコードパターン、既知のマルウェア署名、および不正なファイル変更をサイトでスキャンします。
それらをサイトの警備員のように考えてください。常に不審な活動をパトロールしています。スキャンを実行すると、ハッカーがサイトに残した可能性のある隠されたバックドアを見つけるのに役立つ場合があります。
使用しているWordPressセキュリティプラグインによっては、新しいスキャンを開始して悪意のあるコードを探してください。
例えば、Wordfence を使用している場合は、Wordfence » スキャン に移動し、「新規スキャンを開始」ボタンをクリックする必要があります。
これらのプラグインは、ファイル変更の検出や、疑わしい悪意のあるコードの検索に非常に優れています。
検出後、問題に対処するために実行できる推奨アクションも表示されます。
このプロセスに関する詳細については、悪意のある可能性のあるコードをWordPressサイトでスキャンする方法に関する初心者向けガイドをご覧ください。悪意のある可能性のあるコードをWordPressサイトでスキャンする方法。
ステップ 2. WordPress からスパムリンクを削除する
スパムリンクまたはそれらのリンクを注入している悪意のあるコードを見つけたら、次のステップはそれらを削除することです。
WordPressのセキュリティプラグインを使用している場合、それらのリンクを削除するアクションが自動的に提案されることがあります。
ただし、これらのファイルを削除しても機能せず、サイトにスパムリンクが表示される場合があります。
完全なクリーンアップを行うには、悪意のあるコードやリンクがどのように、どこに挿入されたかによって、複数のツールとテクニックを使用する必要があります。
これらのツールと使用方法については、次のステップで説明します。
ステップ3. データベースのクリーンアップ Search & Replace Everything を使用
ウェブサイトにスパムリンクがあることがわかったので、次のステップはそれらをクリーンアップすることです。
これらの厄介なスパムリンクのすべてのインスタンスを見つけられなかったかもしれません。しかし、それらがどのように見えるかを知っていれば、一括で削除するのが簡単になります。
ここで Search & Replace Everything が役立ちます。
これは強力なWordPressデータベース検索プラグインで、WordPressデータベース全体を検索して一致するテキストを見つけることができます。
Search & Replace Everything をインストールして有効化するだけで、ツール » WP Search & Replace ページに移動できます。
「検索対象」フィールドに、先ほど見つけた疑わしいリンクまたはテキストを入力する必要があります。
その後、調査するデータベーステーブルを選択します。
次に、「検索と置換のプレビュー」ボタンをクリックして検索を実行します。
プラグインは、WordPressデータベースで入力した用語を検索し、結果のプレビューを表示します。
プラグインは、それらのリンクがどこに表示されるかを示します。投稿やページ、コメント、またはウェブサイトのその他の領域内にある可能性があります。
Search & Replace Everythingを使用して、疑わしいリンクをクリーンアップすることもできます。リンクを挿入するために使用された正確なテキストを見つけて、空の文字列に置き換えます。
ℹ️ 詳細については、WordPressで検索と置換を実行する方法に関するチュートリアルをご覧ください。
ステップ4. WordPressテーマおよびプラグインファイル内のスパムリンクのクリーンアップ
WordPressデータベース内のスパムリンクを特定できない場合、そのリンクはWordPressのテーマまたはプラグインファイルに追加されている可能性が高いです。
今日、ほとんどの最新のWordPressテーマやプラグインにはいくつかのファイルが含まれており、それらをすべて手動で確認するのは困難です。
プラグインをいくつかしか使用していない場合は、それらを削除するのが最も簡単な解決策です。これは、プラグイン » インストール済みプラグインに移動することで実行できます。「一括操作」ドロップダウンメニューで、「削除」を選択してから「適用」を選択します。
🚨警告: インストールされているプラグインのいずれかが、ウェブサイトの重要な機能やデザイン要素 (注文システムやカスタムフッターなど) を担当している場合、このアプローチはお勧めしません。
これはサイトの運用をさらに妨げ、重要なデータを失う原因となる可能性があります。このような場合は、スパムの問題を解決するために、WordPressセキュリティの専門家を雇うことを常にお勧めします。
その後、これらのプラグインの新しいコピーをダウンロードして、ウェブサイトにインストールできます。詳細については、WordPressプラグインの適切なアンインストール方法に関するチュートリアルを参照してください。
次に、WordPressテーマでも同様のことを行う必要があります。ただし、現在のWordPressテーマを削除すると、テーマの設定が失われ、テーマを以前の状態に再設定する必要がある場合があることに注意してください。
まず、デフォルトのWordPressテーマをインストールする必要があります。手順については、WordPressテーマのインストール方法のチュートリアルをご覧ください。
デフォルトの WordPress テーマは公式の WordPress テーマです。通常、Twenty Twenty-Five、Twenty Twenty-Four など、リリースされた年に基づいた名前が付けられています。
⚠️ 重要なお知らせ: デフォルトテーマが既にインストールされている場合、それを使用することはできません。影響を受けている可能性があるためです。新しいデフォルトテーマをインストールする必要があります。
新しいデフォルトテーマをインストールしたら、それを有効にする必要があります。
デフォルトのテーマを有効にすると、WordPressは非アクティブなテーマを削除できるようになります。
前のテーマをクリックして、ウェブサイトから削除できます。
テーマを削除した後、ソースからテーマの新しいコピーをダウンロードし、それをインストールする必要があります。
テーマファイルとプラグインファイルを新しいコピーに置き換えることで、クリーンなコードを使用していることを確認し、マルウェアが含まれている可能性のある変更されたファイルを排除できます。
ステップ5. クリティカルファイルをクリーンアップする
WordPressのインストールには、ハッカーが狙いたがるいくつかの重要なファイルがあります。特に.htaccessファイルは、リダイレクトハックに対して脆弱です。
幸いなことに、WordPress は .htaccess ファイルを自分で再生成できます。そのため、FTP クライアントを使用してウェブサイトに接続し、ウェブサイトのルートフォルダにある .htaccess ファイルを削除するだけです。
.htaccess ファイルが正常に再生成されたことを確認したい場合は、WordPressの.htaccessファイルの修正方法に関するガイドを参照してください。
wp-config.php ファイルは、ハッカーが一般的に標的とするもう1つの重要なWordPressファイルです。
FTPを使用して、既存のwp-config.phpファイルをコンピューターへのバックアップとしてダウンロードできます。
次に、WordPress.orgにアクセスして、WordPressの新しいコピーをコンピューターにダウンロードする必要があります。
ファイルを解凍すると、wp-config-sample.phpファイルが見つかります。
次に、FTPを使用してwp-config-sample.phpファイルをウェブサイトにアップロードする必要があります。
アップロードしたら、wp-config.php に名前を変更できます。
ただし、wp-configファイルは、WordPressデータベースに接続するために必要な重要な情報が含まれていないため、機能しません。これには以下が含まれます。
- データベース名
- データベースのユーザー名とパスワード
- データベースホスト
- データベーステーブルのプレフィックス
この情報は、以前にバックアップとしてダウンロードした古いwp-configファイルからコピーできます。情報を追加したら、変更を保存してアップロードする必要があります。
詳細については、WordPressでwp-config.phpファイルを編集する方法を説明しているチュートリアルをご覧ください。
ステップ6. クリーンアップ後のサイトのセキュリティ設定
サイトがクリーンになったので、その状態を維持しましょう！ 🛡️ セキュリティは一度きりのものではなく、注意とメンテナンスが必要な継続的なプロセスです。
すべてのパスワードを変更する
最初に行うべきセキュリティ対策は、サイトに関連付けられているすべてのパスワードを変更することです。
これらには、WordPress 管理アカウント、FTP 認証情報、データベースパスワード、ホスティングコントロールパネルのログイン、およびウェブサイトに接続されているすべてのメールアカウントが含まれます。
💡プロのヒント：パスワードマネージャーを使用して、強力でユニークなパスワードを生成して保存します。セキュリティ機能と使いやすさから、1Passwordをお勧めします。
ファイアウォールとセキュリティプラグインの設定
ファイアウォールと優れたセキュリティプラグインを使用することは、ウェブサイトのプロのセキュリティチームを持つようなものです。
これらのツールを使用することをお勧めします。
- Webアプリケーションファイアウォール（Cloudflareがお気に入りです。）
- ファイル整合性監視（SucuriとWordfenceの両方をお勧めします。）
☝ 関連記事: WordPressファイアウォールプラグイン比較（テスト済み）
自動バックアップの設定
サイトがクリーンになったら、次に、せっかくの作業を二度と失わないようにする必要があります。定期的なバックアップは、サイトがハッキングされたり、クラッシュしたり、誤ってデータが失われたりした場合に、大きな頭痛の種から救ってくれます。
WordPressサイトの自動バックアップを設定するには、Duplicatorの使用をお勧めします。これは、完全なバックアップを作成して安全に保存できる、強力で使いやすいプラグインです。
Duplicatorを推奨する理由：
私たちは多くの自社ウェブサイトでDuplicatorを使用しており、市場で最も信頼性の高いWordPressバックアップソリューションであると考えています。Duplicatorを使用すると、次のことができます。
- ✅ 定期的なバックアップを自動化 – 設定して忘れるだけ。Duplicatorは定期的にサイトのバックアップを自動的に行います。
- ☁️ クラウドにバックアップを保存 – バックアップを Googleドライブ、Dropbox、Amazon S3などに保存します。
- 🔄ワンクリックで復元 – 万が一問題が発生した場合でも、ワンクリックで迅速にサイトを復旧できます。
詳細については、Duplicatorの詳細レビューをご覧ください。または、代替案を探している場合は、おすすめのWordPressバックアッププラグインをご覧ください。
ウェブサイトのセキュリティを取り戻す
スパムリンクの注入に対処するのは難しいと感じるかもしれませんが、忘れないでください – あなたは一人ではありません。自分で問題に取り組むか専門家を雇うかを選択するかに関わらず、重要なのは問題を迅速かつ徹底的に解決することです。
ただし、予防は常に事後対応よりも優れていることを忘れないでください。適切なセキュリティ対策を設定し、警戒を怠ることで、将来の攻撃のリスクを大幅に減らすことができます。
これは、サイトの将来への投資と考えてください。安心と収益保護という形で元が取れるでしょう。
ハッカーにあなたのサイトを人質に取らせないでください – 今すぐ行動を起こしましょう！💪
ボーナスリソース：WordPressセキュリティ
WordPress サイトのセキュリティを維持することは、ビジネスの成長にとって不可欠です。ここでは、ウェブサイトのセキュリティを向上させるために従うことができるいくつかの便利なリソースをまとめました。
- ハッキングされたWordPressサイトを修正するための初心者ガイド
- WordPressセキュリティ監査の実行方法（完全チェックリスト）
- WordPressフォームへの18,000件のスパムリード攻撃をブロックした方法
- WordPressセキュリティの究極ガイド – ステップバイステップ
- WordPressのSQLインジェクション攻撃を防ぐ方法
- WordPressがスパムサイトにリダイレクトされるのを停止する方法
- WordPressサイトをブルートフォース攻撃から保護する方法
- WordPress管理エリアを保護するための重要なヒント
- WordPressで全ユーザーのパスワードをリセットする方法
この記事が気に入ったら、WordPressのビデオチュートリアルについては、YouTubeチャンネルを購読してください。 TwitterやFacebookでもフォローできます。
質問や提案はありますか？コメントを残して、議論を開始してください。