WordPressのサイトが、まったく身に覚えがないのに、他のサイトに勝手に飛ばされてしまうことがあります。
これは、リダイレクトハッキングと呼ばれるもので、何者かによってWordPressが乗っ取られてしまったわけです。
リダイレクト先は、意味不明の海外のサイトだったり、「当選おめでとうございます」といった詐欺まがいの怪しいサイトだったりすることがほとんどです。
この状態のまま放置することは、あなたのサイトの信頼性を失ってしまうだけではなく、訪問者を犯罪に巻き込んでしまう恐れがあります。
また、Googleから手動ペナルティを受けて、検索順位も大きく下がってしまうことになります。
ここでは、WordPressが勝手に他のサイトに飛ばされるリダイレクトハッキングの原因や、その対処方法について詳しく解説をしてみたいと思います。
リダイレクトハッキングによるGoogleからの手動ペナルティ
リダイレクトハッキングの被害を受けたサイトは、Googleからペナルティを受ける可能性が非常に高くなります。
Googleにしてみれば、ハッカーに侵入されたサイトに検索エンジンの訪問者を誘導するわけにはいかないからです。
検索結果に「このサイトは第三者によってハッキングされている可能性があります」と表示されてしまったり、検索順位を大きく下げられてしまったりします。
こうしたケースの場合、Googleによる手動のペナルティが課されることが多く、その場合はサーチコンソールに連絡がきます。
ハッキングされた状態を解決して、Googleの再審査に合格するまでペナルティは解除されません。
つまり、手動ペナルティが解除されるまでの間、検索エンジン経由のアクセスがほぼない状態がずっと続くということです。
これは、WordPressの運営者にとって、まさに死活問題といえます。
リダイレクトハッキングでレンタルサーバーが凍結
Googleから手動ペナルティを受けて、検索からのアクセスがなくなってしまうのも困りますが、それよりも恐ろしいのがレンタルサーバーの凍結です。
レンタルサーバーが凍結されてしまうと、サイトがまったく表示されなくなってしまいます。
サーバーが凍結される理由は、リダイレクトハッキングを仕掛ける危険なマルウェアに感染しているサイトを、そのまま表示させるわけにはいかないからです。
普段あまり更新していないサイトだと、リダイレクトハッキングをされたことに気がつかずに、レンタルサーバー会社からの警告メールで初めて気がつくという人も少なくありません。
ただの警告メールだけであれば、迅速に適切な対応をすれば凍結まで至らないことがあります。
しかし、そのまま放置を続けてサーバーが凍結されてしまうと、かなり面倒なことになります。
また、ハッキングの内容によっては、事前の警告メールなしに、いきなりサーバーが凍結されてしまうこともあります。
レンタルサーバーを凍結されてしまっても、WordPressのバックアップがあれば復活させることは可能ですが、バックアップファイルがない状態だと、サイトの復旧はかなり厳しいものとなってしまいます。
WordPressがリダイレクトハッキングされる原因
WordPressがリダイレクトハッキングされるということは、サイトが乗っ取られているということです。
つまり、何者かによってログイン情報が盗み取られてしまったか、サーバーに侵入されてしまった可能性が高いことになります。
WordPressのサイトがよく仕掛けられるのが、ブルートフォースアタックです。
これは、パスワードを機械的に何度も変えて侵入を試みるというものです。
こうした古典的な攻撃であっても、WordPressのセキュリティ対策が甘くて、パスワードが単純な物だったりすると簡単に突破されてしまいます。
パスワードを複雑にしたり、セキュリティ対策のプラグンを入れたりすることで、ブルートフォースアタックでのハッキングはされにくくなります。
しかし、それだけではリダイレクトハッキングを防ぐことはできません。
なぜなら、WordPress本体や、テーマ・プラグインなどのバージョンが古くて、セキュリティホールをつかれてハッカーに侵入されることもあるからです。
ハッカーの攻撃から大切なサイトを守るためには、つねに最新のバージョンにアップグレードすることが大切です。
ただし、WordPress本体や、テーマ・プラグインを更新するときには、ログインできなくなってしまったり、エラーが発生画面が真っ白になったりという別のリスクが生じますので、慎重に行うことが大切です。
関連記事：WordPressの画面が真っ白になる原因と修復・復旧をするための方法
リダイレクトハッキングされてしまったらどうする？
あなたのサイトが勝手に他のサイトに飛ばされるリダイレクトハッキングに気がついたら、すぐに対処をしなければなりません。
放置をすることで、どんどん被害が広がってしまい、取り返しのつかないことにもなりかねないからです。
また、ハッキングされたWordPressの対応が遅れることによって、サーバーが凍結されてしまったり、Googleから手動によるペナルティを受けたりすることがあります。
そうなる前に、ハッキングされたWordPressを元の状態に戻さなくてはなりません。
ただ、ハッキングへの対処をするといっても、専門知識のない方が自分でそれを実行するのはかなりハードルが高いといえます。
ネット上で情報を検索しながら自分でやる人もいますが、そもそもネットの情報には間違いも多く、うまく対処できるとは限りません。
やり方を間違えると、取り返しのつかないことになったりします。
また、うまく対処することができたとしても、その原因を特定して再発防止対策をしないと、なんども繰り返しハッキングされる可能性もあります。
WordPressがリダイレクトハッキングの被害にあったときには、プロに依頼をして確実に処理をしてもらった方が無難といえます。
弊社でも、WordPressトラブルの解決サービスを提供していますので、ハッキングでお困りの方は以下のリンク先よりお問合せください。
繰り返しハッカーに狙われないための対策
なんとかリダイレクトハッキングからWordPressを復活させたとしても、セキュリティ対策がこれまで通りだと、また同じような被害に合う可能性が高くなります。
そうならないために、しっかりとセキュリティ対策をしておかなければなりません。
ここでは、自分でできるWordPressのセキュリティ対策を、いくつか紹介してみたいと思います。
まず１つめですが、WordPress本体や、テーマ・プラグインなどは、可能な限り最新版に更新をしておくことです。
これらのバージョンアップが頻繁に行われる背景には、セキュリティホールの穴埋めをする目的があったりしますので、しっかりと対応しておくことが大切です。
ただし、サーバーのPHPのバージョンやプラグインの相性などによって、更新をしたとたんにエラーが出てしまうこともありますので注意が必要です。
更新は、自動ではなくあくまでも手動で行うようにして、事前にバックアップをとることを忘れないようにしましょう。
また、ハッキングは海外から仕掛けられることが多いので、サーバーで海外からのアクセスを制限するのも効果的です。
日本国内向けのWebサイトであれば、あえて海外からのアクセスをオープンにしておく必要はありません。
その他にも、レンタルサーバーにはセキュリティ対策のためのさまざまな機能がありますので、基本的にはそれらをすべてONにしておくようにしましょう。
それと、WordPressのログイン認証を強化することも、とても大切です。
ログイン画面のURLをデフォルトのままにするのではなく別のものに変更したり、画像認証や二段階認証などを取り入れたりすれば、ハッキングされる可能性をかなり少なくすることができます。
SiteGuard WP Pluginなどのセキュリティ対策プラグインを利用すれば、それらの設定が簡単にできます。