【復旧後チェックリスト】WordPressリダイレクトハッキングの再発防止対策と専門業者への依頼基準
はじめに：リダイレクトハッキングは再発しやすい。復旧後の必須対応とは
リダイレクトハッキングとは、WordPressサイトに不正なコードや設定を埋め込まれ、訪問者が意図しない広告サイト・詐欺サイト・フィッシングサイトなどへ勝手に転送される改ざん被害です。
管理者が自分で見ると正常に表示される一方で、Google検索経由の訪問者だけ、スマートフォンだけ、初回アクセス時だけ別サイトへ飛ばされるケースもあります。そのため、発見が遅れやすく、SEO評価やユーザーの信頼にも影響しやすい攻撃です。
WordPressのリダイレクトハッキングは、一度の復旧で終わらないケースが多いのが特徴です。見た目は直っても、内部にバックドア（再侵入用コード）が残っていると、数日〜数週間後に再感染することがあります。
特に、
- サーバー内に不審なファイルが複数残っている
- 特定の端末やIPからのみリダイレクトが発生する
- 検索結果（Google上）では改ざんされたURLが出続ける
といった症状がある場合は、完全復旧できていない可能性が高いです。
「もう直ったから大丈夫」と思って放置すると、SEO評価の下落や広告停止（Google広告のマルウェア判定）につながることがあります。
リダイレクト被害の本質は「侵入経路」と「再発防止」にあるため、復旧後の徹底対応こそが最重要です。
リダイレクトハッキングの主な症状と確認方法
リダイレクトハッキングでは、サイト全体が常に転送されるとは限りません。攻撃者が管理者に気づかれないよう、条件付きでリダイレクトを発生させることがあります。
よくある症状
- Google検索結果からアクセスしたときだけ、別サイトへ飛ばされる
- スマートフォンや特定のブラウザでだけリダイレクトが起きる
- 管理者としてログインしていると正常に見える
- 検索結果に身に覚えのないページタイトルや不審なURLが表示される
- Google Search Consoleでセキュリティの問題や不正なページが検出される
まず確認すべき場所
症状が出ている場合は、まず以下を確認します。ただし、不正コードは分かりにくく隠されることもあるため、不安がある場合は不用意に削除せず、専門業者へ相談する方が安全です。
.htaccessやwp-config.phpに不審なリダイレクト記述がないかfunctions.php、header.php、footer.phpに外部URLや難読化コードがないか- 見覚えのない管理者ユーザーが追加されていないか
- 不要なプラグイン・テーマ、古いプラグイン・テーマが残っていないか
- サーバーログに不審なPOSTリクエストや海外IPからのアクセスがないか
【緊急対応】リダイレクトを今すぐ止める方法と、原因を特定するためのログ確認
リダイレクトハッキングは一刻を争います。
まずは被害を最小限に抑えるため、以下の手順で一時的にリダイレクトを遮断してください。
ただし、この処置は根本解決ではありません。バックドアが残っていると再発することがあるため、応急処置としてのみ行ってください。
- .htaccessの改ざん確認
→ 不審なリダイレクト（RewriteRuleやRedirect 301）を削除。 - functions.php や header.php のスクリプト挿入確認
→ Base64などで暗号化されたコードがあれば即削除。 - サーバーログ（アクセスログ・エラーログ）の確認
→ 攻撃元IPや不審なPOSTリクエストを洗い出し。 - サーバーパスワード・FTPアカウントの変更
→ 侵入経路が特定できなくても、早急にパスワードをリセット。
この段階で症状を一時的に止められることはありますが、根本的な除去（バックドア削除）と脆弱性修正をしなければ再発する可能性があります。
ここからは、「復旧後チェックリスト」での強化対応が必要です。
【再発防止】ハッキング後のWordPressセキュリティ強化チェックリスト
バックドアの完全駆除とファイルのクリーン化
リダイレクトハッキングは、バックドアが残っていると再発しやすい被害です。
代表的な隠し場所は以下の通りです。
/wp-includes/や/wp-admin/に紛れた.phpファイル- 無関係なフォルダに置かれた
class-*.php系偽ファイル uploads内にアップロードされた.icoや.txtに偽装されたスクリプト
コアファイルの照合（公式リポジトリとの比較）を行い、1つでも不審な差異があれば、サーバー単位での全スキャン＆再構築が必要になる場合があります。
管理画面へのアクセス制限強化（WAF/IP制限）
管理画面（/wp-admin）へのアクセス制御は再発防止の要です。
- WAF導入
不正アクセス・ファイルアップロード攻撃をブロック - IP制限
特定のグローバルIPのみに管理画面を許可 - reCAPTCHA設置
ログイン試行の自動攻撃対策 - 2段階認証の導入
万一のパスワード漏えいに備える
特にWAFは、攻撃リクエストや不審なアクセスを遮断するうえで有効な対策の一つです。単発の復旧だけでなく、継続的な防御体制として検討しましょう。
全パスワードの強制変更
全てのアカウント情報は漏れている前提でリセットします。
- WordPress管理者・編集者アカウント
- FTP／データベース／サーバーパネル
- Googleアカウント（Search Console・Analytics連携がある場合）
また、同一パスワードを使い回している他サービスも要注意です。
攻撃者はIDリスト攻撃（Credential Stuffing）で横展開を狙うことがあります。
1つでも突破されれば、再侵入のリスクが高まります。
なぜ再発するのか？「脆弱性診断」で根本原因を突き止める重要性
リダイレクトハッキングの多くは、「復旧だけして終わり」にしてしまうことで再発リスクが残ります。
侵入経路を特定せず、表面的な復旧（改ざんファイル削除やテーマ差し替え）で済ませると、攻撃者が仕掛けた再侵入ルート（バックドア）や未修正の脆弱性が温存される可能性があります。
特に注意が必要なのは以下のケースです。
- 古いプラグイン（特にフォーム系・ギャラリー系）を使用している
- WordPress本体やPHPのバージョンが古い
- セキュリティプラグインを導入していない
- 保守・監視体制がない
脆弱性診断を行うことで、どの箇所にリスクがあるかを可視化できます。
弊社のWordPress専用の無料セキュリティ診断ツールを使えば、既知の脆弱性・設定不備・更新漏れを自動で検出可能です。
再発防止の第一歩は、「どこが弱かったか」を知ることです。
「もう二度とハッキングされたくない」企業様へ。WP KEEPERのサービスのご案内
WP KEEPERのWordPressのハッキング・改ざん復旧サービスでは、リダイレクトハッキングや改ざん被害からの「即時復旧＋再発防止」までをワンストップで対応しています。
- 最短1時間の復旧対応（被害状況の調査・リダイレクト遮断・ファイル修復）
- バックドア削除と脆弱性修正（侵入経路の確認と再発防止）
- 24時間監視・WAF設定・ログ監視・自動バックアップで再侵入リスクを抑制
- 定期アップデート・プラグイン互換テストで安全な運用を維持
さらに、復旧後に保守・監視まで継続することで、再感染の早期発見や再発防止につなげやすくなります。
専門家チームが復旧だけで終わらせず、予防を標準化します。
「もう二度とハッキングされたくない」
その想いに、WP KEEPERの「WordPressのハッキング・改ざん復旧サービス」と「継続的なWordPress保守サービス」が防御と安心の両輪で応えます。
リダイレクトハッキングに関するよくある質問
リダイレクトハッキングとは何ですか？
リダイレクトハッキングとは、WordPressサイトに不正なコードや設定を埋め込まれ、訪問者が意図しない広告サイト、詐欺サイト、フィッシングサイトなどへ勝手に転送される改ざん被害です。管理者には正常に見える一方で、検索経由やスマートフォンからのアクセス時だけ発生するケースもあります。
WordPressサイトが勝手に別サイトへ飛ばされる原因は何ですか？
主な原因は、古いWordPress本体、プラグイン、テーマの脆弱性、不正ログイン、管理者アカウントの乗っ取り、.htaccessやテーマファイルの改ざん、バックドアの設置などです。表面的にリダイレクトを止めても、侵入経路やバックドアが残っていると再発することがあります。
リダイレクトハッキングに気づいたら最初に何をすべきですか？
まず被害拡大を防ぐため、.htaccessやテーマファイルの不審なリダイレクト記述、見覚えのない管理者ユーザー、古いプラグインやテーマを確認します。あわせてWordPress、サーバー、FTP、データベースなどのパスワードを変更します。ただし、不正コードの判断が難しい場合は、無理に削除せず専門業者へ相談することをおすすめします。
リダイレクトハッキングは自分で復旧できますか？
軽度な改ざんで原因が明確な場合は、自力で一時的に止められることもあります。ただし、バックドアやデータベース内の不正コード、サーバー側の侵入経路が残っていると再発しやすいため、原因特定や完全復旧に不安がある場合は専門業者へ相談する方が安全です。
復旧後に再発を防ぐには何が必要ですか？
復旧後は、WordPress本体、プラグイン、テーマの継続的なアップデート、不要なプラグインやテーマの削除、強力なパスワードと二段階認証、WAFやログイン制限、定期バックアップ、ファイル改ざん監視などが必要です。企業サイトでは、月額保守や監視サービスを利用し、異常を早期発見できる体制を整えることが重要です。
WordPressの脆弱性対策、プロに相談しませんか？
「自分のサイトは大丈夫？」と不安な方は無料診断を。
すでにトラブルが発生している方は、最短即日の復旧サービスをご利用ください。
更新管理・バックアップ・監視・技術相談まで対応。WordPressサイトの安定運用を継続的にサポートします。
- 24時間365日監視
- 自動バックアップ
- セキュリティ対策
- 技術相談サポート
専門家がサイトの脆弱性や設定状況をチェック。今すぐできる対策をレポートでご提案します。
不正改ざんやマルウェア感染などの緊急事態に迅速対応します。
まずは無料セキュリティ診断で状態をチェック
WordPress脆弱性診断ツール（無料）を使えば、脆弱性や設定不備を手軽に確認できます。「自分のサイトが今どれだけ安全か」を把握することが、安心運用の第一歩です。
WordPress脆弱性診断（無料）既にトラブルが起きているならすぐに修正・復旧を
ハッキング・改ざん・ログイン不可など、深刻なトラブルは放置すると被害が拡大します。WordPressのハッキング・改ざん復旧サービスなら、最短1時間で復旧対応。早期対応で、信頼やビジネスの損失を防ぎます。
WordPressのハッキング・改ざん復旧専門家による保守で安心のサイト運用を
復旧だけで安心するのは危険です。今後の被害を防ぐためには継続的な対策が欠かせません。定期監視・アップデート・バックアップを一括で任せられる継続的なWordPress保守サービスで、長期的に安全な運用を実現しましょう。
WordPress保守サービス専門家による比較記事もご参照ください
WordPress専門家が厳選した、他社サービスとの比較情報を合わせてご覧いただけます。
WordPress保守サービスのおすすめ7選と料金相場を比較する
緊急時に頼れるWordPress復旧サービスのおすすめ7選を比較する
この記事の執筆者
2010年、ソフトウェア開発会社に入社。業務用クラウドサービスの開発に従事し、自社プロダクトの構築や、ユーザー向けデモンストレーションなどを幅広く担当。2012年に退社後、海外での中期滞在を経て、2013年よりフリーランスとしてWeb制作業を開始。2017年、株式会社KOP（ケーオーピー）を設立し、代表取締役に就任。Webクリエイターとしての実務経験を土台に、現在はディレクター／Webコンサルタントとしても活動中。中小企業のWeb戦略に強みを持つ。
