クライアントのWPサイトがハックされた！
ハックされた！
巷では大手企業の個人情報漏洩の話題でもちきりですが、筆者の知り合いのWordpressのサイトもハックされました、結構壮大に。
内容は結構トリッキーで、サイト自体の見た目は何も変化がありません。
ところがそのサイトの関連キーワードでググってみると、なぜかタイのオンラインカジノへのリンクがずらり。
このケースではホスティング会社からクライアントへ注意喚起の電話が入って発覚しました。
巧妙なのは、このサイト、毎日Wordfenceでもチェックしてスルーしていたこと、しかもサイト自体の見た目は何の異変もありませんでした。
Google Geminiと調べまくった
症状をGeminiに相談すると、まずWPのユーザーを調べろと言われました。
いました、debugという覚えのないユーザー。
まず削除。
で、そのサイトをGoogle Search Consoleへ登録。
すると、すでにそこには住人が・・・。
こいつがハッカーです。
gmailアカウントで登録されていました。
Search Consoleからそのユーザーを削除。
ここからが大変でした。
サイトマップがヘン
Search Consoleにサイトを登録すると、そのサイトのサイトマップをGoogleへプッシュすることができるようになります。
さらにGoogle Botが見ている内容も確認できます。
詳細を見てみると、ことごとくタイ語が並んでいます。
まずはこれを削除しないといけませんが、なぜ普通に表示されるサイトのサイトマップがタイのオンラインカジノへの検索結果になってしまうのか？？？
ここがこのハックの非常に巧妙な部分でした。
サイトマップのxmlはなんと、wp-content/languageとかの中に５つほどアップロードされていました。
そのxmlにはタイのカジノへのリンクリストが保存されています。
さらにテーマのfunction.phpにはGoogle Botがやってきたらそのサイトマップを参照せよと記述されたコードが追記されていました。
目的はわかった
とにかく無作為に脆弱性のあるサイトを調べまくって、あ、ここいけるとわかったらサイトマップをアップロードして、ユーザーを追加、そのアカウントでログインしたらテーマのfunction.phpに追記する。
そうするとそのサイト目当てでググった検索結果にタイの オンラインカジノが表示されるといった具合にするのがハックの目的でした。
残るナゾ
筆者はグラフィックデザイナーです。
エンジニアではないので、どのようにしてサイトマップファイルをアップロードできたのかわかりません。
さらにどのようにしてユーザーを追加したのかもわかりません。
さらにさらにどのようにしてSearchConsoleを登録できたのかもわかりません。
ただ共有サーバーなので、上流の権限を奪われたらどうにもならないことは理解できます。
つまり、Wordpressサイトの脆弱性だけではなくホスティングサービスのシステム側の穴もハッカーの標的になっているということです。
今回のハッキングからの修復の手順のまとめ
- 不正に追加されたWordpressユーザーの削除
- WordPressサイトのSearch Consoleの登録、そこに既存ユーザーがいた場合、そのユーザーの削除
- Google Bot巡回時に意図しないurlへ誘導するスクリプトの検索、およびそのスクリプトの削除
- 追加されていたファイルを特定して削除
- Search Consoleで再度正しいページ登録
- Wordfenceでのスキャン
３が結構ハードルが高いと思います。
今回はAI（Google Gemini）と会話しながら対策していった中で、AIにスクリプトを検索するPHPファイルを生成してもらいました。
不正に追加されたコードにはハッカーが誘導したいウェブアドレスなどが含まれています。
その文字列が含まれたPHPファイルを検索するプログラムを生成してもらって、実行しながら該当ファイルを見つけていきました。
４はWordfenceで見つけることができると思います。
油断禁物
筆者がハッカー被害にあったのはこれで２回目です。
前回はマルウェアの埋め込みで、ホスティングサービスから連絡があってアカウント凍結になりました。
筆者はひとつのサーバー契約で複数のクライアントサイトを運用していたので、そのあとのクライアント対応が大変だったのを覚えています。
それ以来、毎朝Wordfence Centralで40程度のサイトを巡回していますが、それでも今回のトラブルが発生してしまいました。
ハッカーの手法は日々進化しています。
AIを使われると、スピードも手口もどんどん進化していきます。
正しいホスティングサービス選定、Wordpressコアファイル、プラグインのアップデートなどは基本中の基本です。
いまのところ、筆者の一番のおすすめサービスはXサーバー しかないです。
今回のハッキングされてしまったサイトはXサーバーではありませんでした。
筆者が新規ウェブサイト案件があったときは100％Ｘサーバー をおすすめしています。
