🚨 はじめに：WordPressが乗っ取られた日
突然、私のWordPressサイトが乗っ取られ、不審なURLが検索結果に現れるようになりました。
アクセスしてみると、英語の広告ページ。
WordPressの管理画面には入れました。しかし、サーバー内を確認すると見知らぬ `.shtml` ファイルが約5万ページも生成されていました。
これは、明らかにWordPressの乗っ取りです。
まさか自分のサイトがこんな被害に遭うとは思ってもいませんでした。
—
🛠 WordPress乗っ取り時の初期対応
まずはFTP（FileZilla）でサーバーにアクセスし、ファイルの中身を調査しました。
すると、見覚えのないファイルが多数存在していることが判明。
そのため、感染の拡大を防ぐために、すべてのファイルを削除しました。
ちなみに、削除前に必要な画像や投稿データはローカルにバックアップ。
そして、WordPressを再インストールし、クリーンな環境から再構築を開始しました。
—
🔁 WordPress乗っ取り後の復旧でやったこと
再構築にあたり、私は次のような手順を踏みました。
– WordPressの再インストール（安全なテーマ・プラグインのみ再設定）
– `.shtml` ファイルをブロックするための `robots.txt` を作成
– Google Search Console で該当URLの削除リクエストを実施
– サイトマップを再送信し、正しい情報を再インデックス
その結果、検索結果から不審なURLが徐々に消え、正しい情報に置き換わっていきました。
—
🔐 WordPress乗っ取りを防ぐ再発防止策
復旧は一時的な対応に過ぎません。
そこで、再発を防ぐために以下のセキュリティ対策を実施しました。
– Wordfenceプラグインを導入し、リアルタイム監視を強化
– ログインURLを変更（`wp-admin`を非公開に）
– 海外IPのアクセスを制限
– 日本語を含む強力なパスワードに変更
– 定期的なバックアップ体制を検討（UpdraftPlusを試用中）
このような対策により、今では以前より安心して運営ができています。
—
🔧 使用している主なツール・サービス
以下は、現在使用している信頼できるツール・サービスです。
- サーバー：エックスサーバー
- セキュリティプラグイン：Wordfence（無料版）
- VPN（海外からの管理用）：MillenVPN（利用中）
- FTPソフト：FileZilla
※ それぞれの使い方や導入手順は、今後別記事で詳しくまとめる予定です。
—
📝 この経験を通して学んだこと
WordPressの乗っ取りは、他人事ではありません。
誰でも被害に遭う可能性があり、日頃からの備えがとても重要です。
そのため、「自分のサイトは自分で守る」意識を持つことが、安心できる運営につながります。
今回の経験が、あなたのWordPress運営の参考になれば幸いです。
—
📚 関連記事・参考リンク
- VPN使用中にWordPressにアクセスできなかったときの対処法
- 今後追加予定：Wordfenceの設定方法、robots.txtの書き方、バックアッププラグインの比較 など
