ある日、WordPressサイトにアクセスすると、全く知らない怪しいサイトにリダイレクトされてしまうと連絡あり。しかも、同じサーバー内に置いている複数のサイトがすべて同じように乗っ取られているような挙動…。WordPress本体やプラグインの脆弱性を疑っても、それらには見当たらず原因がわからない。そんな状況に直面したら、本当に焦りますよね・・・。
私自身もまさにこのトラブルに巻き込まれました。調べてみると結論は「WordPress自体の問題ではなく、サーバーアカウントやFTPへの不正アクセス」が原因の可能性が高いということでした。
幸いにも、利用していたエックスサーバーには「14日間の自動バックアップ」が標準で用意されており、それを使って無事にサイトを復旧することができました。この記事では、同じような被害に遭った場合に役立つ「バックアップからの復元手順」や、今回の気づきをまとめています。
サイトが勝手にリダイレクトされるときの正体
WordPressで作ったはずのサイトにアクセスしたのに、突然まったく無関係なページへ飛ばされてしまう。そんな現象が起きたとき、まず疑うのは「テーマやプラグインの脆弱性」でしょう。ですが、今回のケースではそれらには不審な点はなく、しかも同じサーバーに入っていた複数のサイトが同時に被害を受けていました。
ここから考えられるのは、WordPress本体ではなく「サーバーの領域そのもの」が突破された可能性です。具体的には、サーバーのログイン情報やFTPアカウントを不正に取得され、直接ファイルをいじられたケースがもっとも有力です。こうなると、いくらWordPress側を調べても異常が見つからないのは当然のこと。サーバー単位でのセキュリティが突破されていた、というわけです。
エックスサーバーの自動バックアップで復旧できた
結論から言うと、今回のトラブルは エックスサーバーに標準搭載されている「14日間の自動バックアップ」 を活用することで解決しました。もし自力で原因を追いかけて復旧しようとすれば、改ざんされたファイルを一つひとつ洗い出して修正する必要があり、膨大な時間と労力がかかります。しかし、バックアップ機能を使えば比較的スムーズに「安全な状態」へ戻すことができます。
実際の復旧手順
- サーバーパネルへログイン
管理画面に入り、「自動バックアップの取得・復元」をクリックします。 - バックアップデータを選択
復元メニューから「自動バックアップデータから復元」を選びます。 - 対象データの指定
- Web領域（
public_htmlの中身） - Web用設定ファイル（
public_html以外の設定ファイル） - メール領域（
mailディレクトリ）
上記から復元したい範囲を選べます。
- 実行する をクリック
復元内容を確認したら実行。注意事項の確認画面でも承諾を選べば、復元が開始されます。 - 復元状況をチェック
容量によっては時間がかかるため、「履歴」から進捗を確認できます。
この手順で、改ざん前の状態に戻すことができました。
トラブルから学んだ予防策
今回の一件で強く感じたのは、「WordPressのセキュリティ対策だけでは不十分」 ということです。いくらテーマやプラグインを最新に保っても、サーバーアカウントやFTP情報が盗まれてしまえば一発で侵入されます。つまり、守るべき対象は「サイト」だけでなく「サーバー環境全体」なのです。
予防のために意識したいポイント
- FTPはなるべく使わず、SFTPやSSHを利用する
- サーバーパネルやFTPのパスワードは強固にする（英数字＋記号を組み合わせ、使い回さない）
- 不要なアカウントは削除 し、利用者を最小限に絞る
- バックアップ体制を必ず確認 しておく（もしもの時に備える）
特に、エックスサーバーのように標準で自動バックアップがある環境は非常に心強いです。バックアップがなければ、最悪の場合はサイトをゼロから作り直す、もしくはドメイン変更までしないといけない可能性あります。
まとめ
今回のリダイレクト被害を通じて分かったのは、WordPressのセキュリティ対策だけでは不十分 だということです。テーマやプラグインを最新にしても、サーバーやFTPのパスワードが突破されれば、簡単に不正アクセスを許してしまいます。
つまり、守るべきは「WordPressサイト」だけではなく、サーバー環境そのもの も含まれるのです。
- WordPress側：定期的な更新、不要プラグイン削除、セキュリティプラグイン導入
- サーバー側：強力なパスワード設定、SFTPやSSHの利用、不要アカウント削除、自動バックアップの確認
特に、エックスサーバーのようにバックアップ体制が整っているサービスは、万一のときの心強い味方になります。実際、今回も14日間の自動バックアップがあったからこそ、早急に復旧できました。
WordPressとサーバー、両方を意識したセキュリティ対策 を行うことが、安心してサイトを運営するための必須条件だと実感しています。
トラブルでお困りの方へ
WordPressやサーバーのリダイレクト被害に遭ったけど「どう直せばいいかわからない」という方も多いと思います。
復旧方法やセキュリティ対策に不安がある方は、ぜひお気軽にお問い合わせください。
