WordPressでスパムリンクの注入を見つけて削除する方法

想像してみてください。ある朝、WordPressサイトの分析を確認していて、何かがおかしいことに気づきます。トラフィックが減少し、サイトが偽のブランドバッグから怪しげな医薬品まであらゆるものを販売するスパムリンクでいっぱいになっていることが判明します。

私たちはクライアントのウェブサイトでこれを直接見てきました。実際、私たちはウェブサイトが一夜にしてスパムだらけの惨状に変貌したクライアントを支援しました。

彼らのビジネス上の評判全体が危険にさらされていましたが、私たちはそれをクリーンアップし、セキュリティを確保し、元に戻しました。そして、あなたも同じことができるように、その方法を正確にお見せします。

このガイドでは、スパムリンクの注入を見つけてクリーンアップすることから、将来にわたってサイトを保護することまで、すべてをカバーします。

クイックアンサー：WordPressでスパムリンクの注入を削除するにはどうすればよいですか？

SucuriやWordfenceのようなセキュリティプラグインを使用してサイトをスキャンし、悪意のあるコードを見つけます。次に、Search & Replace Everythingでデータベースをクリーンアップし、感染したテーマファイルとプラグインファイルを新しいコピーに置き換え、すべてのパスワードをリセットします。

なぜスパムリンクの注入を気にする必要があるのですか？

スパムリンクの注入により、ハッカーはあなたのサイトのSEOと評判を乗っ取ることができ、多くの場合、あなたはそれに気づくことさえありません。

検索エンジンはあなたのサイトをフラグ付けしたり罰したりする可能性があり、オーガニックトラフィックと潜在的な収益を失う原因となります。
隠されたスパムリンクは訪問者の信頼を損ない、サイトがGoogleによって一時的にブラックリストに登録される可能性があります。

ステップ 1. スパムリンクの検出

隠された悪意のあるコンテンツを見つけるために使用するプロセスを順を追って説明します。

これを行うにはいくつかの異なる方法があり、何も見逃さないように、これらのアプローチをすべて試すことをお勧めします。

オプション 1: Google Search Console を使用してスパムリンクを見つける

Google Search Consoleは、スパムリンクを検出するための最初の防御線です。これは、サイト所有者が検索結果でのウェブサイトのパフォーマンスを確認できるGoogleの無料ツールです。

これは多くの洞察を提供し、サイトのGoogle検索での健全性を検出するのに役立つ優れた診断ツールを備えています。まだ設定していない場合は、Google Search Consoleの完全なチュートリアルをご覧ください。

設定が完了したら、次に実行する必要があることは次のとおりです。

まず、Google Search Console にログインしてサイトを選択します。次に、左側のサイドバーにある「セキュリティと手動による対策」タブに移動します。

ここでは、「不自然なリンク」または「スパムコンテンツ」に関する警告を探す必要があります。

「問題は検出されませんでした」と表示されても、必ずしもウェブサイトがクリーンであるとは限らないことに注意してください。Googleがまだフラグを立てていないスパムリンクがまだ存在する可能性があります。

次に、「リンク」レポートを確認して、不審なパターンを特定する必要があります。

これらのレポートに表示される疑わしいドメインやリンクテキストを探す必要があります。疑わしいとは、認識できず、信頼できると確認できないドメインからのものであることを意味します。

オプション2.手動サイトチェックでスパムリンクを見つける

ハッカーは痕跡を隠すことに創造的です。最近、クライアントのサイトで、ページ全体を選択した場合にのみ表示される不可視テキストを使用して隠されたスパムリンクを見つけました。

一般的な隠し場所には、フッター、正規のコンテンツ内（特に古い投稿）、ウィジェットエリア、テンプレートファイルなどがあります。

ウェブサイトのソースコードを手動で確認することで、スパムリンクが見つかることがあります。

プロのヒント: ブラウザの「ソースを表示」機能を使用して、ソースコード内の隠されたスパムリンクを確認してください。

エンコードされているか、またはぐちゃぐちゃに見えるコードには特に注意してください。それはしばしば危険信号です。

これらのリンクを見つけるもう1つの方法は、ウェブサイトのインデックスされたページのGoogle検索結果を確認することです。

サイトがスパムに感染している場合、結果を確認すると、奇妙なメタディスクリプションのリンク、製薬関連のキーワードのページ、または外国語の文字が表示されることがあります。

ウェブサイトでこれらのスパムリンクを見つける問題は、それらを削除または削除しても常に機能するとは限らないことです。さらに、このプロセスは非常に時間がかかる可能性があります。

これらのスパムリンクを引き起こしている悪意のあるコードを見つける方が、より迅速かつ効果的です。次のセクションでその方法を説明します。

オプション3.セキュリティスキャナーを使用して悪意のあるコードとリンクを特定する

SucuriやWordfenceのようなセキュリティプラグインは、サイトを積極的にスキャンし、問題を自動的に検出できます。

これらのツールは、変更されたコアファイル、疑わしいコードパターン、既知のマルウェア署名、および不正なファイル変更をサイトでスキャンします。

これらをサイトのセキュリティガードと考えて、常に不審なアクティビティをパトロールしています。スキャンを実行すると、ハッカーがサイトに残した可能性のある隠されたバックドアを見つけるのに役立ちます。

使用しているWordPressセキュリティプラグインによっては、新しいスキャンを開始して悪意のあるコードを探します。

例えば、Wordfence を使用している場合は、Wordfence » スキャン に移動し、「新規スキャンを開始」ボタンをクリックする必要があります。

これらのプラグインは、ファイル変更の検出や、疑わしい悪意のあるコードの検索に非常に優れています。

検出後、問題に対処するために実行できる推奨アクションも表示されます。

このプロセスに関する詳細については、WordPressサイトで潜在的に悪意のあるコードをスキャンする方法に関する初心者向けガイドをご覧ください。

ステップ 2. WordPress からスパムリンクを削除する

スパムリンクまたはそれらのリンクを注入している悪意のあるコードを見つけたら、次のステップはそれらを削除することです。

WordPressのセキュリティプラグインを使用している場合、それらのリンクを削除するアクションが自動的に提案されることがあります。

ただし、これらのファイルを削除しても機能せず、サイトにスパムリンクが表示される場合があります。

完全なクリーンアップを行うには、悪意のあるコードやリンクがどのように、どこに挿入されたかによって、複数のツールとテクニックを使用する必要があります。

これらのツールと使用方法については、次のステップで説明します。

ステップ3. 検索と置換ですべてのデータベースクリーンアップ

ウェブサイトにスパムリンクがあることがわかったので、次のステップはそれらをクリーンアップすることです。

これらの厄介なスパムリンクのすべてのインスタンスを見つけられなかったかもしれません。しかし、それらがどのように見えるかを知っていれば、一括で削除するのが簡単になります。

ここでSearch & Replace Everythingが役立ちます。

これは強力なWordPressデータベース検索プラグインで、WordPressデータベース全体を検索して一致するテキストを見つけることができます。

Search & Replace Everythingをインストールして有効化し、ツール » WP Search & Replaceページに移動します。

「検索対象」フィールドに、先ほど見つけた疑わしいリンクまたはテキストを入力する必要があります。

その後、調査するデータベーステーブルを選択します。

次に、「検索と置換のプレビュー」ボタンをクリックして検索を実行します。

プラグインは、WordPressデータベースで入力した用語を検索し、結果のプレビューを表示します。

プラグインは、それらのリンクがどこに表示されるかを示します。投稿やページ、コメント、またはウェブサイトのその他の領域内にある可能性があります。

Search & Replace Everythingを使用して、疑わしいリンクをクリーンアップすることもできます。リンクを挿入するために使用された正確なテキストを見つけて、空の文字列に置き換えます。

詳細については、WordPressで検索と置換を実行する方法に関するチュートリアルをご覧ください。

ステップ4. WordPressテーマおよびプラグインファイル内のスパムリンクのクリーンアップ

WordPressデータベース内のスパムリンクを特定できない場合、そのリンクはWordPressのテーマまたはプラグインファイルに追加されている可能性が高いです。

今日、ほとんどの最新のWordPressテーマやプラグインにはいくつかのファイルが含まれており、それらをすべて手動で確認するのは困難です。

プラグインをいくつかしか使用していない場合は、それらを削除するのが最も簡単な解決策です。これは、プラグイン » インストール済みプラグインに移動することで実行できます。「一括操作」ドロップダウンメニューで、「削除」を選択してから「適用」を選択します。

警告：インストールされているプラグインのいずれかが、ウェブサイトの重要な機能やデザイン要素（注文システムやカスタムフッターなど）を担当している場合、このアプローチはお勧めしません。

サイトの運用をさらに中断させ、重要なデータを失う可能性があります。この場合、スパムの問題を処理するためにWordPressセキュリティの専門家を雇うことを常に推奨します。

その後、それらのプラグインの新しいコピーをダウンロードしてウェブサイトにインストールできます。詳細については、WordPressプラグインを適切にアンインストールする方法に関するチュートリアルをご覧ください。

次に、WordPressテーマでも同様のことを行う必要があります。ただし、現在のWordPressテーマを削除すると、テーマの設定が失われ、テーマを以前の状態に再設定する必要がある場合があることに注意してください。

まず、デフォルトのWordPressテーマをインストールする必要があります。WordPressテーマをインストールする方法に関するチュートリアルで手順を確認してください。

デフォルトの WordPress テーマは公式の WordPress テーマです。通常、Twenty Twenty-Five、Twenty Twenty-Four など、リリースされた年に基づいた名前が付けられています。

重要なお知らせ：デフォルトテーマが既にインストールされている場合、それを使用することはできません。影響を受ける可能性があるためです。新しいデフォルトテーマをインストールする必要があります。

新しいデフォルトテーマをインストールしたら、それを有効化する必要があります。

デフォルトのテーマを有効にすると、WordPressは非アクティブなテーマを削除できるようになります。

前のテーマをクリックして、ウェブサイトから削除できます。

テーマを削除した後、ソースからテーマの新しいコピーをダウンロードし、それをインストールする必要があります。

テーマファイルとプラグインファイルを新しいコピーに置き換えることで、クリーンなコードを使用していることを確認し、マルウェアが含まれている可能性のある変更されたファイルを排除できます。

ステップ5. クリティカルファイルをクリーンアップする

WordPressのインストールには、ハッカーが狙いたがるいくつかの重要なファイルがあります。特に.htaccessファイルは、リダイレクトハックに対して脆弱です。

幸いなことに、WordPressは.htaccessファイルを自分で再生成できます。したがって、FTPクライアントを使用してウェブサイトに接続し、ウェブサイトのルートフォルダにある.htaccessファイルを削除するだけです。

.htaccess ファイルが正しく再生成されたことを確認したい場合は、WordPress の .htaccess ファイルを修正する方法に関するガイドを参照してください。

wp-config.phpファイルは、ハッカーが一般的に標的とする別の重要なWordPressファイルです。

FTPを使用して、既存のwp-config.phpファイルのコピーをコンピュータにバックアップとしてダウンロードできます。

編集のためにwp-config.phpファイルをコンピューターにダウンロードしてください

次に、WordPress.org にアクセスして、WordPress の最新コピーをコンピューターにダウンロードする必要があります。

ファイルを解凍すると、wp-config-sample.phpファイルが見つかります。

次に、FTPを使用してwp-config-sample.phpファイルをウェブサイトにアップロードする必要があります。

アップロードしたら、wp-config.php に名前を変更できます。

ただし、wp-configファイルは、WordPressデータベースに接続するために必要な重要な情報が含まれていないため、機能しません。これには以下が含まれます。

データベース名
データベースのユーザー名とパスワード
データベースホスト
データベーステーブルのプレフィックス

この情報は、以前にバックアップとしてダウンロードした古いwp-configファイルからコピーできます。情報を追加したら、変更を保存してアップロードする必要があります。

詳細については、WordPress で wp-config.php ファイルを編集する方法を説明するチュートリアルを参照してください。

ステップ6. クリーンアップ後のサイトのセキュリティ設定

サイトがクリーンになったので、その状態を維持するようにしましょう。セキュリティは一度きりのものではなく、継続的な注意とメンテナンスを必要とするプロセスです。

すべてのパスワードを変更する

最初に行うべきセキュリティ対策は、サイトに関連付けられているすべてのパスワードを変更することです。

これらには、WordPress 管理アカウント、FTP 認証情報、データベースパスワード、ホスティングコントロールパネルのログイン情報、およびウェブサイトに接続されているすべてのメールアカウントが含まれます。

プロのヒント: パスワードマネージャーを使用して、強力でユニークなパスワードを生成および保存します。セキュリティ機能と使いやすさから、1Password をお勧めします。

ファイアウォールとセキュリティプラグインの設定

ファイアウォールと優れたセキュリティプラグインを使用することは、ウェブサイトのプロのセキュリティチームを持つようなものです。

これらのツールを使用することをお勧めします。

Web アプリケーションファイアウォール（Cloudflare がお気に入りです）。
ファイル整合性監視（Sucuri と Wordfence の両方が気に入っています）。

自動バックアップの設定

サイトがクリーンになったら、次にハードワークを二度と失わないようにする必要があります。定期的なバックアップは、サイトがハッキングされたり、クラッシュしたり、偶発的なデータ損失が発生したりした場合に、大きな頭痛の種から救ってくれます。

WordPress サイトの自動バックアップを設定するには、Duplicator を使用することをお勧めします。これは、完全なバックアップを作成して安全に保存できる、強力で使いやすいプラグインです。

Duplicatorを推奨する理由

私たちは多くの自社ウェブサイトでDuplicatorを使用しており、市場で最も信頼性の高いWordPressバックアップソリューションであると考えています。Duplicatorを使用すると、次のことができます。

スケジュールされたバックアップを自動化 — 設定したら忘れてください。Duplicatorは定期的にサイトを自動的にバックアップします。
バックアップをクラウドに保存 — バックアップを Google Drive、Dropbox、Amazon S3 などに保存します。
1クリックで復元 — 問題が発生した場合でも、ワンクリックで迅速にサイトを復旧できます。

詳細については、Duplicator の詳細なレビューをご覧ください。または、代替手段を探している場合は、おすすめの WordPress バックアッププラグインを確認できます。

ウェブサイトのセキュリティを取り戻す

スパムリンクの注入に対処するのは難しいと感じるかもしれませんが、忘れないでください — あなたは一人ではありません。問題を自分で解決するか専門家を雇うかを選択するかに関わらず、重要なのは問題を迅速かつ徹底的に対処することです。

予防は常に事後対策よりも優れています。適切なセキュリティ対策を設定し、警戒を怠らないことで、将来の攻撃のリスクを大幅に減らすことができます。

サイトの将来への投資と考えてください — それは、心の平穏と保護された収益であなたに報いるでしょう。

よくある質問

WordPressサイトにスパムリンクが注入されたかどうかを知るにはどうすればよいですか？

Google Search Console でセキュリティ警告を確認し、site:yourdomain.com を使用して Google でサイトを検索して疑わしいページを見つけ、Wordfence や Sucuri のようなセキュリティプラグインでスキャンを実行して悪意のあるコードを検出します。

スパムリンクの注入はGoogleのランキングに悪影響を与えますか？

はい。Googleはあなたのサイトを侵害されたとフラグを付けたり、一時的に検索結果から削除したりする可能性があります。これにより、問題が解決されるまで、オーガニックトラフィックと収益が大幅に減少する可能性があります。

ハッキングされたWordPressサイトを自分でクリーンアップするのは安全ですか？

FTP、データベース、セキュリティプラグインの操作に慣れている場合は、ステップバイステップのガイドに従って自分でクリーンアップできます。ただし、自信がない場合は、WordPressセキュリティの専門家を雇うのが最も安全な選択肢です。

ハッカーはどのようにしてWordPressにスパムリンクを注入しますか？

ハッカーは通常、古いプラグイン、弱いパスワード、または既知の脆弱性を悪用してアクセス権を取得します。その後、データベース、テーマファイル、プラグインファイル、または.htaccessやwp-config.phpのようなコアファイルに悪意のあるコードを注入します。

今後スパムリンクの注入を防ぐにはどうすればよいですか？

WordPress、テーマ、プラグインを最新の状態に保ち、強力でユニークなパスワードを使用し、CloudflareのようなWebアプリケーションファイアウォールをインストールし、定期的にセキュリティスキャンを実行し、必要に応じてサイトを迅速に復元できるように自動バックアップを設定してください。

その他のWordPressセキュリティリソース

WordPress サイトのセキュリティを維持することは、ビジネスの成長にとって不可欠です。ここでは、ウェブサイトのセキュリティを向上させるために従うことができるいくつかの便利なリソースをまとめました。

この記事が気に入った場合は、WordPressのビデオチュートリアルのために、YouTubeチャンネルを購読してください。また、TwitterやFacebookでも私たちを見つけることができます。