まさか！ワードプレスがハッキング？！セキュリティ脆すぎた

重要度

先日から感じていた、とある違和感・・・

記事を執筆してるとき、「@」を入力すると、
ワードプレスのユーザー名が出てくるんですが・・・

なんかいっぱいいるなーって。

知らないユーザーがね。

違和感はあったものの、

「プラグインを制御するために追加されることもあるのかなー」

なんてスルーしてたわけですよ。

でも待てよ・・・？

やっぱりコレ、マズいんじゃね？！

いろいろ調べてみたら、
どうやらハッキングを受けている可能性が濃厚なことが判明！

ハッカー！

の、しわざですね。

穴があったら・・・

入っちゃうゾ！

アブラ汗かきながらなんとか自力で復旧したので、
その対処プロセスと、オススメのセキュリティ対策についてご紹介します。

ワードプレスのハッキング対処プロセス

パスワード変更

ハッキングされたんだから、そりゃ変えないとですねん。

ワードプレス管理画面で「ユーザー」＞「プロフィール」をクリック

アカウント管理欄で「新しいパスワードを設定」をクリックし、パスワードを変更

「プロフィールを更新」をクリックして、変更を確定

今までは覚えるためのパスワードにしてましたが、この際だから自動生成の強力なものにしました。

メモしないと忘れますので、お気をつけくださいね。

増えたユーザーの削除

を開いて、自分以外のユーザーを削除しました。

ぼくは難なく削除できましたが、何やら削除できない場合もあるそうで、
くわばらくわばら。

マルウェア（不正コード）の検出

ハッキングされたブログ・サイトは、十中八九、

などの、不正操作がおこなわれてしまっています。

まずはその痕跡を調査します。

使用したのは、

1. wpdoctor（参考にさせていただいた使用方法の記事）
   ※ワードプレスの管理画面からは追加できないので、管理会社の公式サイトからダウンロードが必要です。
2. Wordfence（参考にさせていただいた使用方法の記事）

Zipファイルダウンロードはコチラから

この2つのプラグイン。

1つだと漏れがありそうなので、2つつかってみました。

これは結果的に正解でした。

各社が提供しているマルウェア情報がことなるようで（一部有料だったりもするため）、

があったからです。

ってことは、3つも4つもやる必要があるのかもしれませんが・・・

そこはヤブヘビってもんです。

し・・・知らぬがホトケぇぇぇっ！！

・・・えぇいっ！

検出されたマルウェアの削除

ぼくの場合は、ファイルの改ざんはされておらず、
不正コードの書かれたファイル（フォルダー）が追加されているという状況でした。

なので、検出されたファイルを丸ごと削除でこと足りました。

もし、ワードプレスのシステムファイルが改ざんされている場合は、
システムに影響を与えないよう、
慎重にファイル内のコードを削除する必要があります。

削除方法は、さきほど紹介した記事内で解説されています。

ヘタするとワードプレスが動かなくなるため、
不安なら専門家に相談したほうがよさそう。

注意！ ハッカーはバックドアを隠している！

検出されたマルウェアを削除しても、
数日後にまた同様のハッキング事象がおこるようなら、
バックドア型のウイルスが仕込まれているかもしれません。

“バックドア”っていうのは、ハッカーが再侵入を容易にするために設置する、
カギのない裏口みたいなものです。

これがあることによって、わざわざメンドウな正面突破をしなくても、

って状態になっちゃうってことですね。

かしこい！

感心！

してる場合じゃない・・・

ね？

なので、バックドアを消さないかぎり、
再度ハッキング被害にあう可能性があります！！

さきにあげたプラグインでもバックドアを検出してくれるっぽいので、
ひととおり削除しおわったあとで、再スキャンしたときに何も検出されなければ、
ひとまず安心といったところ。

それでも100%安心はできません。

しばらくは動向を注視し、再度ハッキングされるようなら、
そのときは迷わず専門家に相談ですね。

ぼくもそうします。

セキュリティ対策してないワードプレスは、裸で野外をうろついてるようなもの

変態かよ。

変態だよ。

露出してる場合じゃないですよ！

ワードプレスは、何もセキュリティ対策してないとやられたい放題。

ぼくも丸裸でインターネットという荒野を散歩してたようで・・・

イジられたい放題となっており、実際イジられてしまいました。

言い方！！！

でしょうね。

それはそれは、とても開放的でした。

ヌーディストかよ！

ヌーディストだよ、ネット上のな。

なので、ちゃんと服は着ましょう。

セキュリティ対策のド定番、不正ログイン対策2つ

最低でもこの3点は身につけておくべきでした。

❶のセキュリティプラグインはさきほど紹介済みなので、
ほか2点の服の着方（不正ログイン対策）をご紹介しましょう。

に不正ログインされてしまったら、やられたい放題です。

ぼくみたいにハッキング被害にあわぬよう、
アクセスが少ないからといって油断せず、
さっさと対策しちゃいましょう！

カンタン3分！ログインURLの変更

カップラーメンかよ。

カップラーメン待ってるあいだにできるよ。

ワードプレスのログインURLって、
デフォルトだと以下のようになってます。

ブログ・サイトのドメイン/wp-login.php

お気づきですか？

このままだと、ログインページURLモロバレです！

誰っ・・・でもアクセスできちゃいます。

ぼくもこの事実を知ってて放置してましたが、
結果ハッキングされちゃってたわけで・・・

やらない選択肢はありません！

そもそもログインページが見つからなければ、
パスワードやぶるもクソもないですからね。

「ふーん」ってスカしてないで、

今から！スグに！

対策プリーズ。

使用するプラグイン

WPS Hide Login

Zipファイルダウンロードはコチラから

・プラグインをインストールして有効化
・ワードプレス管理画面で「設定」＞「一般」をクリック

・WPS Hide Login欄のログインURL欄に、変更したいログインURLを入力
・「変更を保存」をクリック

メモするのを忘れずにね！

カンタン3分！ログインの二段階認証化

カップヌードルかよ。

シーフード味が好きです。

これもメンドくさくて放置してましたが、
結果ハッキングされちゃってたわけで・・・

やらない選択肢はありません！

使用するプラグイン

Two-Factor

Zipファイルダウンロードはコチラから

・プラグインをインストールして有効化
・ワードプレス管理画面で「ユーザー」＞「プロフィール」をクリック

今回は二段階認証の方法として、「Google Authenticator」というアプリを使用した方法を解説します。

・Two-Factor設定欄の「Time Based One-Time Password」左の有効欄にチェックを入れる
・アプリ「Google Authenticator」をスマホで起動し、QRコードを読み込む
・表示された6桁のコードを「認証コード」欄に入力し、「送信する」をクリック

Google Authenticatorの画面＠スマホ

コードを送信した時点で、保存を押さなくても設定が保存されます。

ちゃんと設定できたか、ログアウトして再度ログインしてたしかめましょう。

まとめ：ちゃんと服は着よう

今回ご紹介した3点の服を身につけるだけで、

となるわけですから、イジられる可能性は劇的に低くなります。

まぁ、何やってもやられるときはやられちまいます。

骨抜きだよ♡

でもそのときは、やらなくて後悔するより、やって後悔しましょう。

やらなくて後悔するのは、後味わるいですからね。

シーフード味？好きですよ。

バックドアからコンニチワ！

ってならないように、ちゃんと対策しましたか？

ヒトゴトではないですよ！

スパムコメント対策はコチラ！

↓　　↓　　↓　　↓　　↓　　↓

スパムおにぎりっておいしいよね【無料スパム対策の決定版】Invisible reCaptcha【Google公式で安心】

プラグインをたくさん入れると重たくなるので、表示速度を改善できないか確認してみましょう

↓　　↓　　↓　　↓　　↓　　↓

デブログはダイエットしないとねブログの表示速度が遅いときの確認項目5つ【速すぎる必要ナシ】

ホイジャーマタ！