1. なぜ、乗っ取られても気づかないのか

「サイトが乗っ取られたら、画面がおかしくなるはず」と思われがちです。ところが、私たちが見た2つの実例は、どちらも持ち主がパソコンで開いても普段どおりでした。

理由は、攻撃する側が見せる相手を選んでいるからです。

持ち主に見えないように作ってあるので、いつも見ている人ほど気づけません。発覚のきっかけは、1つ目が「なんだか様子がおかしい」という相談、2つ目はサイト全体が表示されなくなったことでした。

2. 実例1：Googleにだけ"カジノの宣伝"を見せていた住宅会社のサイト

ある住宅会社のサイトを調べると、同じページなのに、見に来た相手によって返す中身が違っていました。

ふつうのブラウザで開くと、いつもの施工事例や会社案内が出ます。ところがGoogleのロボットとして同じページを開くと、海外のオンラインカジノの宣伝ページが返ってきました。こうした出し分けは一般に「クローキング」と呼ばれます。

このタイプの困るところは3つあります。

1. 検索結果が汚れる：Googleには宣伝ページの内容が登録されるので、会社名で検索したときに見覚えのないタイトルが出るおそれがあります。
2. プラグインを消しても直らない：調べたところ、ホームページの部品ではなく、その手前（サーバー側の設定に近い層）で中身が差し替わっていました。画像や装飾用のファイルまで差し替わっていたのが、その判断の決め手です。
3. 以前にも別の手口で入られていた：検索結果には、偽の通販ページが登録された跡も残っていました（ページ自体はすでに消えていました）。時期をずらして違う種類の仕掛けがされていたことから、裏口が長く残っていた可能性が高いと判断しました。

あわせて、問い合わせフォームのプラグインが2024年はじめごろの版のままになっているなど、更新されていない部品が見つかりました。侵入経路として最も疑われるのは、こうした古い部品です。

なお、このサイトでは訪問者への直接の被害（ウイルスの配布や別サイトへの転送）は見つからず、被害は検索の面でした。

3. 実例2：本物そっくりの名前の偽プラグインが、訪問者を狙っていた

もう1つのサイトは、もっと悪質でした。

ページを実際にブラウザで動かして確かめると、画面全体を白い枠で覆い、偽の「セキュリティ確認」を出す仕掛けが入っていました。訪問者に指示どおりの操作をさせて、その人のパソコンに悪いプログラムを入れる手口です。こちらは訪問者が直接被害を受けるタイプです。

犯人は、ホームページの部品（プラグイン）に化けたプログラムでした。手が込んでいたのは次の点です。

• プラグインの一覧に自分を表示させない
• 管理者がログインしている間は動かない（だから持ち主には見えない）
• 管理者アカウントを一覧から隠すものまであった

一度すべて取り除きましたが、3日後には再び仕掛けられ始め、約1か月後にサイトが丸ごと表示されなくなったときには、偽のプラグインが10個に増えていました。

名前の付け方にも特徴がありました。

• 有名なプラグインの名前の1文字を、見分けにくい別の文字に置き換えたもの（小文字のエルを大文字のアイにする、など）
• 綴りを1文字だけ変えたもの
• 有名な名前に「-enhanced」のような言葉を足したもの、会社名を名乗るもの

管理画面の一覧で目で見ても、まず見分けられません。決め手になったのは、10個とも、WordPressの公式のプラグイン置き場に存在しなかったことです。

4. 自社で確かめる方法

専門知識がなくても、次の3つは今日確かめられます。

Googleで「site:自社のドメイン」と入れて検索し、出てくるページのタイトルをざっと眺めてください。英語や見覚えのない商品名、カジノのようなタイトルが混ざっていたら要注意です。実例1の過去の偽通販ページも、ここで見つかりました。

1. 検索結果のタイトルを見る

Googleの無料ツール「Search Console」には、Googleが問題を見つけたときに知らせる画面があります。あわせて「URL検査」でトップページを調べると、Googleのロボットから見たページの姿を確認できます。ふだん見ている画面と違っていたら、出し分けを疑います。

1. Search Consoleの「セキュリティと手動による対策」とURL検査を見る

管理画面のプラグイン一覧で、入れた覚えのない名前がないか確認してください。迷ったら、WordPress公式サイトのプラグイン検索でその名前を探します。公式に見当たらないものは要注意です。ただし実例2のように、一覧に出てこないものもあるので、一覧がきれいでも安心はできません。

1. プラグインの一覧を、公式の置き場と照らし合わせる

ほかに、ページを閉じようとしたときに「このページを離れますか」と聞かれる、サイトが急に表示されなくなる、といった変化も兆候のひとつでした。

5. 日頃の対策

一般的に言われている対策のうち、2つの実例で特に大事だと感じたものに絞ります。

• プラグインとWordPress本体を更新し続ける：どちらの実例も、何年も更新されていない部品が残っていました。
• 使っていないプラグインは消す：入っているだけで入口になります。
• サーバーのPHPの版を確認する：実例2では、サポートが終わった古い版のままでした。
• 駆除したら、パスワードとログイン情報をすべて入れ替える：実例2のように、入口を塞がないまま駆除だけしても、すぐに戻ってきます。
• 誰が見ているかを決めておく：制作会社か保守会社か社内か。「誰かが見ているはず」が一番危ない状態です。

まとめ ― 「いつもどおり見える」は安全の証拠にならない

• 乗っ取られたサイトは、持ち主には普段どおりに見えるように作られています。
• 実例1はGoogleにだけカジノの宣伝、実例2は訪問者に偽の確認画面。どちらも持ち主の画面には出ませんでした。
• 偽プラグインは本物そっくりの名前で、一覧にすら出ないものがあります。公式の置き場にあるかどうかで見分けます。
• 確かめ方は検索結果のタイトル・Search Console・プラグイン一覧の3つ。対策の基本は更新を止めないことと、駆除後に入口ごと塞ぐことです。

自社のサイトに不安があっても、どこから見ればいいか分からないことが多いと思います。
シンミドウでは、検索結果やGoogleから見たページの確認から、更新が止まっている部品の洗い出しまで、ホームページの点検のご相談をお受けしています。

▼▼
ホームページ・WEB集客のご相談はコチラ
https://sinmido.com/contact/