ホームページが正常に表示されていても危険？不正ファイルと大量迷惑メール送信のリスク

「ホームページは正常に表示されているから、セキュリティは問題ない」
「お問い合わせフォームも使えているので、特に異常はない」
「何年も更新していないけれど、今まで問題が起きたことはない」

このように考えている企業のホームページ担当者もいらっしゃるのではないでしょうか。

しかし、ホームページが正常に表示されていることと、サーバーが安全であることは別の問題です。

WordPressやプラグインなどの脆弱性を悪用された場合、ホームページの見た目を変えずに、サーバー内部へ不正なファイルを設置されることがあります。

さらに、不正なプログラムによって、企業が知らない間に大量の迷惑メールが送信されるケースもあります。

このような被害は、ホームページを普通に閲覧しているだけでは気付かない場合があります。

この記事では、WordPressサイトに不正なファイルが設置される仕組み、迷惑メール送信への悪用、企業への影響、確認方法、被害が疑われる場合の対応について解説します。

ホームページが正常に表示されていても安全とは限らない

ホームページのセキュリティというと、画面が改ざんされたり、サイトが表示されなくなったりする被害を想像する方も多いかもしれません。

しかし、実際の不正アクセスでは、必ずしもホームページの見た目に変化が現れるとは限りません。

攻撃者がサーバー内部に不正なプログラムを設置し、管理者に気付かれないまま悪用するケースがあります。

例えば、次のような状態でもホームページ自体は正常に表示されることがあります。

• サーバー内に不正なPHPファイルが設置されている
• WordPressのファイルが一部改ざんされている
• 不審な管理者アカウントが追加されている
• サーバーが大量の迷惑メール送信に利用されている
• 不正な外部通信が行われている
• 不正なページやリンクが設置されている

ホームページが表示されているという事実だけでは、こうした異常の有無を判断できません。

WordPressに不正なファイルが設置される原因

WordPressサイトが不正アクセスを受ける原因には、さまざまなものがあります。

代表的な例として、次のようなものが挙げられます。

WordPress本体やプラグインの脆弱性

WordPress本体やプラグインに脆弱性がある場合、条件によっては攻撃者に悪用される可能性があります。

特に、長期間更新していないプラグインや、開発が停止しているプラグインには注意が必要です。

古いPHPなどのサーバー環境

PHPはWordPressを動かすためのプログラミング言語です。

公式サポートが終了した古いPHPを使用している場合、開発元から新しいセキュリティ修正が提供されません。

ただし、古いPHPを使用していることだけで、不正アクセスの原因を特定できるわけではありません。

管理者アカウントやパスワードの問題

推測されやすいパスワードの使用や、認証情報の漏えいなどによって、不正ログインが発生する場合があります。

WordPressの管理者アカウントだけでなく、サーバーやFTPなどの認証情報も適切に管理することが重要です。

不正なPHPファイルが設置されると何が起こる？

攻撃者がサーバーへの侵入に成功すると、不正なPHPファイルなどを設置することがあります。

こうしたファイルには、外部からサーバーを操作する機能や、迷惑メールを送信するプログラムなどが含まれる場合があります。

不正なファイルは、WordPressのテーマやプラグインのフォルダなどに紛れ込むこともあります。

そのため、ホームページを通常どおり閲覧しているだけでは発見できない場合があります。

不正ファイルによって起こり得る被害

• サーバー内部のファイルを不正に操作される
• ホームページの内容を改ざんされる
• 迷惑メールを大量に送信される
• 不正なページやリンクを設置される
• 保存されている情報を不正に取得される
• 外部からの操作に利用される

被害の内容は侵入経路やサーバーの権限設定などによって異なり、すべてのケースで発生するわけではありません。

しかし、サーバー内部に不正なプログラムが存在している場合、ホームページの表示が正常でも安全とはいえません。

自社名義で大量の迷惑メールが送信されるケース

企業サイトで特に注意したいのが、サーバーを悪用した大量の迷惑メール送信です。

不正なプログラムがサーバー内に設置されると、企業が知らない間に大量のメールが送信される場合があります。

例えば、次のようなケースが考えられます。

1. WordPressやプラグインなどの脆弱性が悪用される
2. サーバー内に不正なPHPファイルが設置される
3. 不正なプログラムがメール送信機能を悪用する
4. 企業が知らない間に大量の迷惑メールが送信される
5. レンタルサーバー事業者から警告や送信制限の通知を受ける

このようなケースでは、ホームページ自体は正常に表示されていることがあります。

つまり、サイトの表示に異常がなくても、サーバーが第三者の迷惑メール送信に利用されている可能性があるということです。

差出人に自社のメールアドレスが使われることも

不正なメールの差出人に、自社ドメインやメールアドレスが使用される場合もあります。

ただし、メールの差出人は偽装できるため、自社名義の迷惑メールが届いたという事実だけで、自社サーバーが侵害されたと断定することはできません。

実際に自社サーバーから送信されたかどうかは、メール送信ログやメールのヘッダー情報などを確認する必要があります。

迷惑メール送信によって企業が受ける影響

サーバーが大量の迷惑メール送信に悪用された場合、企業の業務にも影響する可能性があります。

メールの送信制限やサーバーの利用制限

レンタルサーバー事業者によっては、不正なメール送信を検知した際に、メール送信やサーバー機能の一部を制限する場合があります。

これにより、正規の業務メールにも影響が出る可能性があります。

取引先へメールが届かなくなる可能性

大量の迷惑メール送信が原因で、送信元IPアドレスやドメインの評価が低下する場合があります。

その結果、取引先へ送った正規のメールが迷惑メールとして判定されたり、受信を拒否されたりする可能性があります。

企業の信用への影響

自社名義の不審なメールが取引先に届いた場合、問い合わせや苦情につながることがあります。

また、情報漏えいや不正アクセスが発生していた場合には、被害範囲の調査や関係者への対応が必要になることもあります。

ホームページのセキュリティ問題は、Webサイトだけでなく、メール業務や企業の信用にも影響する可能性があります。

ホームページが改ざんされていないか確認する方法

ホームページの表示に異常がなくても、次のような兆候がないか確認することが重要です。

レンタルサーバーからの通知を確認する

サーバー事業者から、不正アクセス、不審なファイル、メールの大量送信などについて通知が届いていないか確認しましょう。

ただし、通知がないことだけで安全と判断することはできません。

WordPressの管理者アカウントを確認する

WordPressのユーザー一覧を確認し、身に覚えのない管理者アカウントが追加されていないか確認します。

サーバー内のファイルを確認する

サーバー内に不審なPHPファイルや、身に覚えのないファイルが存在していないか確認します。

ただし、ファイル名や更新日時だけで正常・不正を判断することは難しい場合があります。

アクセスログやメール送信ログを確認する

不審なアクセスや大量のメール送信が記録されていないか、サーバーのログを確認します。

ログの保存期間や確認できる項目は、利用しているサーバーによって異なります。

これらの確認だけで安全性を完全に証明できるわけではありません。異常が疑われる場合は、専門的な調査が必要になることがあります。

不正ファイルを発見した場合の対処方法

不正なファイルや不審なメール送信が確認された場合は、被害の拡大を防ぎながら原因を調査する必要があります。

基本的には、次のような対応を検討します。

1. サーバー事業者へ連絡し、被害状況を確認する
2. 必要に応じてサイトやメール送信機能を一時的に制限する
3. ログや不審なファイルなど、調査に必要な情報を保全する
4. 不正なファイルや改ざん箇所を調査する
5. 侵入経路を特定する
6. 不正なファイルやアカウントを適切に除去する
7. WordPressやサーバーなどの認証情報を変更する
8. 必要なアップデートと再発防止策を実施する
9. 復旧後の動作と不審な通信の有無を確認する

不審なファイルを見つけても、原因を確認せずに削除すると、調査に必要な情報が失われたり、サイトの動作に影響したりすることがあります。

また、情報漏えいの可能性がある場合には、被害範囲の調査や関係者への対応も検討する必要があります。

被害が疑われる場合は、単にファイルを削除するのではなく、侵入経路の調査と再発防止まで含めて対応することが重要です。

WordPressを更新するだけでは解決しない場合がある

WordPress本体やPHP、プラグインを更新することは重要なセキュリティ対策です。

しかし、すでにサーバー内部へ不正なファイルが設置されている場合、アップデートだけでは不正なプログラムが残ることがあります。

例えば、WordPress本体を最新版に更新しても、別のフォルダに設置された不正なPHPファイルが削除されるとは限りません。

また、攻撃者によって不審な管理者アカウントや不正な設定が追加されている場合、それらも確認する必要があります。

そのため、すでに侵害が疑われるサイトでは、「更新」と「不正ファイルの調査・除去」を分けて考えることが重要です。

更新後にホームページが正常に表示されたとしても、それだけで不正アクセスへの対応が完了したとは判断できません。

企業サイトで行いたい再発防止策

WordPressサイトのセキュリティ対策では、一度更新して終わりにするのではなく、継続的な保守管理が重要です。

企業サイトでは、次のような対策を検討しましょう。

• WordPress本体を適切に更新する
• テーマやプラグインを定期的に更新する
• 公式サポート対象のPHPを利用する
• 不要なプラグインやテーマを削除する
• 管理者アカウントや権限を適切に管理する
• 強固なパスワードと多要素認証を利用する
• ファイルやデータベースのバックアップを取得する
• サーバーやWordPressのログを確認する
• 必要に応じてWAFなどのセキュリティ機能を利用する

なお、WAFやセキュリティプラグインを導入しても、すべての攻撃を防げるわけではありません。

複数の対策を組み合わせ、更新と点検を継続することが重要です。

制作会社に相談した方がよいケース

次のような場合は、WordPressの保守・改修やセキュリティ対応に詳しい制作会社へ相談することをおすすめします。

• サーバー事業者から不正ファイルの通知が届いた
• 大量の迷惑メール送信について警告を受けた
• WordPressに身に覚えのない管理者アカウントがある
• サーバー内に不審なPHPファイルが見つかった
• WordPressを長期間更新していない
• PHPのバージョンが古い
• 以前の制作会社と連絡が取れない
• 更新後も不審な動作が続いている

特に、すでに不正アクセスが疑われる場合は、通常のWordPress更新とは異なる調査や復旧作業が必要になることがあります。

株式会社リバースでは、WordPressサイトの改修・保守管理やホームページの不具合に関するご相談を承っています。

サイトの状態や被害の内容によって対応方法が異なるため、現在の環境を確認したうえで、必要な作業をご案内します。

ホームページの不具合・トラブル対応について

よくある質問

Q. ホームページが正常に表示されていれば、不正アクセスは受けていませんか？

いいえ。ホームページが正常に表示されていても、サーバー内部に不正なファイルが設置されていたり、不審なプログラムが動作していたりする場合があります。

Q. 自社名義の迷惑メールが送られている場合、サーバーが乗っ取られていますか？

必ずしもそうとは限りません。メールの差出人は偽装される場合があります。
実際に自社サーバーから送信されたかどうかは、メール送信ログやヘッダー情報などを調査する必要があります。

Q. WordPressを最新版にすれば不正ファイルは消えますか？

必ずしも消えるわけではありません。
WordPress本体の更新では、別の場所に設置された不正ファイルや不正な設定が残る場合があります。

Q. セキュリティプラグインを導入すれば安全ですか？

セキュリティプラグインは対策の一つですが、すべての攻撃や不正ファイルを検出・防止できるわけではありません。
WordPressやPHPの更新、認証管理、バックアップなども重要です。

Q. 他社で制作したWordPressサイトでも調査を依頼できますか？

他社で制作されたWordPressサイトでも、対応できる制作会社があります。
ただし、サーバーの管理権限やサイトの構成、被害状況などによって対応可否が異なります。

まとめ｜ホームページの見た目だけで安全性を判断しない

ホームページが正常に表示されていても、サーバー内部が安全とは限りません。

WordPressやプラグインなどの脆弱性を悪用されると、不正なPHPファイルを設置され、企業が知らない間に大量の迷惑メール送信などに悪用される可能性があります。

その結果、メールの送信制限や取引先へのメール不達、企業の信用への影響などが発生する場合があります。

また、すでに不正なファイルが設置されている場合、WordPressやPHPを更新するだけでは問題が解決しないこともあります。

「ホームページが表示されているから大丈夫」と判断せず、WordPressの更新状況やサーバー内部の管理状況を定期的に確認することが重要です。

WordPressのセキュリティ・不具合対応についてご相談ください

大阪本町を拠点とする株式会社リバースでは、WordPressサイトの改修・保守管理に関するご相談を承っています。

「サーバーから不正ファイルの通知が届いた」
「大量の迷惑メール送信について警告を受けた」
「WordPressを長期間更新していない」
「PHPのバージョンが古い」
「ホームページの安全性が心配」

このような場合は、現在のサイト環境や状況を確認したうえで、対応方法をご案内します。

WordPressの不具合・セキュリティ対策・保守管理について、お気軽にお問い合わせください。

ホームページの不具合・トラブル対応について

WordPress保守・メンテナンスについて