改ざん検知・不正ファイル検出への対応

まずやってはいけないこと

検知されたファイルを削除すれば解決したと判断するのは避けてください。攻撃者は検知されにくい場所（正常なシステムファイルの中など）にも数行の不正コードを仕込んでいることが多く、表面のファイルだけを消しても、残った裏口から再侵入されて同じ改ざんが繰り返されることがあります。

詳細を確認しないまま全データを削除して作り直すことも避けてください。攻撃者がいつどこから侵入したかを調べる材料が減り、経路の特定が難しくなります。アクセスログや認証記録が別に残っていれば追えることもありますが、消したあとに戻すことはできません。まずは改ざんされた状態のまま保全することが先です。

削除しても再発するのは、入口と結果を取り違えているためです。通知に出るのは、侵入した結果として置かれたファイルです。入口は、更新していないプラグインの弱点や、盗まれた管理画面のパスワードなど、別のところにあります。結果だけを消しても入口は残るため、同じ手順でまた置かれます。

再発までの間隔が短いほど、入口が開いたままである可能性は高くなります。数日で戻るなら、削除の作業そのものより、どこから入られたかを確かめるほうが先です。

警告文面のパターンと原因

サーバー会社の通知は「改ざんを検知しました」「不正なファイルを検出しました」「マルウェアの疑いがあります」など表現が分かれます。指しているのは同じ原因であることが少なくありません。攻撃者が外部からサーバーを操作するために設置した「バックドア（裏口）」ファイルです。まずメール全文と記載されたファイルの場所（パス）を控えてください。

設置されたバックドアは、改ざんファイルの再設置だけでなく、偽CAPTCHAを使った踏み台化など、閲覧者を狙う別の攻撃に転用されることもあります。

消してよいものと、残すもの

通知に並んだファイルは、すべてが同じ扱いではありません。次の順で見ると区別できます。

通知に載ったファイルそのものは残す：いつ、どこから入られたかを調べる材料になる。消すと材料が一つ減り、入口を見つけられないまま塞げないことがある。
サーバーの記録も残す：アクセスログは保存期間を過ぎると消える。エックスサーバーの公式マニュアル（2026年8月時点）では、過去30日分を日別に生成すると案内されている。改ざんの時刻と近い範囲を、先に別の場所へ複製しておく。
公式の配布物と同じだと確かめられる部分は入れ替えられる：WordPress本体と、公式ディレクトリから入れた無変更のプラグインが該当する。有料配布や、自分で手を入れたものは対象外。入れ替える前に、変更を加えていないかを確かめる。
テーマとアップロード先は判断が要る：自分で手を入れたテーマは、上書きすると変更が消える。画像を置く場所に紛れ込んだプログラムは、見た目では区別しにくい。mu-plugins のように自動で読み込まれる場所も同じ。

迷ったときは、消さずに移してください。ただし移す先は、公開領域の外で、外部から開けない場所にします。公開領域の中で場所を変えただけでは、URLをたどられて実行される余地が残ります。

サーバー会社の管理画面に、通知されたファイルを隔離する機能がある場合は、それを使うのが確実です。削除ではなく隔離であることを確認してから実行してください。

移動と保全は別の作業です。調査用の複製は、公開しているサーバーとは別の場所に取ってください。同じサーバー内に置いたままだと、復旧作業のなかで一緒に消えることがあります。

初動チェック項目

1
バックアップ取得
改ざんファイルを含んだ現状のまま保全します。調査の材料になります。感染状態のまま公開環境へ戻さないでください。
2
パスワード全変更
FTP、データベース、管理画面、サーバーパネルを使い回しでない文字列に変更します。
3
公式配布データでの置き換え
WordPress公式は、管理画面の再インストール機能を使わず、同じ版の公式配布データをFTPなどで置くよう案内しています。ディレクトリごとそのまま置き換えられるものとして wp-admin と wp-includes が挙げられており、テーマやプラグインが入る wp-content はより慎重に進めるよう求められています。上書きでは攻撃者が追加したファイルが残るため、置き換えだけで終わりにはしません。
4
書き込み権限の制限
ファイルのパーミッション（書き込み権限）を必要最小限にし、再改ざんを防ぎます。

この4つの初動は、初動チェックリストの「改ざん検知を受けたとき」の項目と対応しています。抜け漏れがないか確認してください。

保全を最初に置く理由ははっきりしています。あとの作業で記録が上書きされ、いつ何が起きたのかを追えなくなるためです。ここだけは順番を動かさないでください。

残りの3つは、状況によって順番が変わります。パスワードを変えても、攻撃者がすでに開いている接続や、別に発行された鍵が残っていれば入り直せます。侵入の入口が脆弱性なら、パスワードを変えても入口は開いたままです。データベースのパスワードを変えるときは、接続の設定も同時に直さないとサイトが表示されなくなります。

つまり、何から手を付けるかは、どこから入られたかによって決まります。入口が分からない段階で順番を固定すると、変えた直後にまた同じ状態へ戻ることがあります。判断がつかないときは、保全まで済ませたところで相談してください。

相談を急ぐべき状態

訪問者が不審なサイトへ転送されている。サーバー会社から対応期限や凍結予告が示されている。自分で削除したが再発した。このいずれかに当てはまる場合、被害は進行中です。

当てはまらない場合でも、通知に載ったファイルの場所に心当たりがなく、いつ置かれたのかも分からないなら、自力での切り分けは難しい状態です。作業を進めるほど記録が上書きされるため、手を止めて相談するほうが結果は早くなります。

緊急対応では、初期調査・切り分け（50,000円）で侵入経路の特定を試み、復旧実対応（100,000円〜）まで進めます。まず調査のみのご契約も可能です。復旧に至らなかった場合は実対応費を請求しません（調査費のみ発生。条件は利用規約に公開しています）。