ある日突然、自社のホームページにアクセスすると見知らぬ広告が表示される。Googleの検索結果に「このサイトは危険です」という警告が出る——そんな経験をした方はいませんか？これは、ホームページがマルウェア（悪意のあるプログラム）に感染している可能性があります。
マルウェア感染は他人事ではありません。特にWordPressなどのCMSを使ったサイトは攻撃の標的になりやすく、中小企業や個人事業主のサイトこそ狙われやすいのが現実です。この記事では、マルウェアに感染した場合の対処手順と、そもそも感染を防ぐための対策について詳しく解説します。
マルウェア感染の兆候を見逃さない
ホームページがマルウェアに感染すると、いくつかの典型的な兆候が現れます。まず、サイトの表示速度が極端に遅くなったり、意図しないページにリダイレクト（自動転送）されたりするケースがあります。また、Googleサーチコンソールから「セキュリティの問題」に関する通知が届くこともあります。
さらに深刻なのは、訪問者のパソコンにウイルスを配布してしまうケースです。自分のサイトが知らないうちに加害者になっている可能性もあるため、定期的なチェックが欠かせません。Googleが提供する「セーフブラウジング」のサイトステータスツールや、Sucuriの無料スキャンツールを使えば、自分のサイトが安全かどうかを簡単に確認できます。
お客様からの「御社のサイトにアクセスしたら警告が出た」という連絡で初めて感染に気づくケースも少なくありません。このような事態を防ぐためにも、少なくとも月に一度はセキュリティスキャンを行う習慣をつけましょう。
マルウェアに感染した場合の復旧手順
万が一マルウェアに感染してしまった場合、慌てずに以下の手順で対処しましょう。
最初にやるべきことは、サイトを一時的にメンテナンスモードにすることです。感染したままサイトを公開し続けると、訪問者に被害が広がる恐れがあります。レンタルサーバーの管理画面からサイトを一時停止するか、メンテナンス中の表示に切り替えましょう。
次に、すべてのパスワードを変更します。サーバーのFTPパスワード、CMSの管理画面パスワード、データベースのパスワードなど、関連するすべてのパスワードを新しいものに変更してください。この時、以前の記事でご紹介したパスワード管理ツールを活用すると安全です。
その後、バックアップからの復元を検討します。感染前の正常なバックアップがあれば、それを使って復元するのが最も確実な方法です。バックアップがない場合は、感染したファイルを手動で特定して削除する必要がありますが、この作業は専門知識が必要なため、セキュリティの専門業者に依頼することをおすすめします。
復旧後は、Googleサーチコンソールで「審査をリクエスト」して、検索結果に表示される警告を解除してもらいましょう。審査には通常数日かかりますが、サイトが安全であることが確認されれば警告は解除されます。
事前にできるマルウェア対策5つ
感染してから対処するよりも、事前に対策を講じることが何よりも重要です。特に以下の5つの対策は、今すぐ実施できるものばかりです。
1つ目は、CMSやプラグインを常に最新の状態に保つことです。WordPressの場合、本体・テーマ・プラグインのアップデートが公開されたら、できるだけ早く適用しましょう。古いバージョンのまま放置していると、既知の脆弱性（セキュリティの穴）を狙った攻撃を受けるリスクが高まります。
2つ目は、セキュリティプラグインの導入です。WordPressであれば、Wordfence SecurityやSucuri Securityなどのプラグインが、不正アクセスの検知やファイルの改ざん監視を自動で行ってくれます。
3つ目は、定期的なバックアップの取得です。万が一の場合に備え、最低でも週に1回はサイト全体のバックアップを取得しておきましょう。バックアップは、サイトと同じサーバーではなく、別の場所（クラウドストレージなど）に保管するのが鉄則です。
4つ目は、不要なプラグインやテーマの削除です。使っていないプラグインやテーマでも、インストールされたままだと攻撃の入口になりえます。使わないものは無効化するだけでなく、完全に削除しましょう。
5つ目は、WAF（ウェブアプリケーションファイアウォール）の導入です。WAFは、不正なアクセスをサーバーに届く前にブロックしてくれる仕組みです。レンタルサーバーによっては無料で提供されている場合もあるので、管理画面を確認してみてください。
レンタルサーバーのセキュリティ機能を活用する
日本の主要なレンタルサーバーには、セキュリティ機能が標準で搭載されているケースが増えています。たとえば、WAFの自動適用、国外IPアドレスからのアクセス制限、ログイン試行回数の制限などが該当します。
これらの機能は初期設定で無効になっていることもあるため、契約しているレンタルサーバーの管理画面を一度確認してみましょう。設定を有効にするだけで、多くの攻撃を未然に防ぐことができます。
また、SSL証明書の導入も基本的なセキュリティ対策のひとつです。通信を暗号化することで、データの盗聴や改ざんのリスクを減らせます。
まとめ
マルウェア対策は、「感染してから考える」では遅すぎます。CMSの更新、セキュリティプラグインの導入、定期的なバックアップ、不要なプラグインの削除、WAFの活用——この5つの基本対策を実施するだけで、感染リスクを大幅に下げることができます。
もし現在、セキュリティ対策に不安がある方や、すでにマルウェア感染の兆候がある方は、早めの対応をおすすめします。Sane Designでは、ホームページのセキュリティ診断や対策のご相談も承っております。お気軽にお問い合わせください。
