Wordfenceから大量攻撃の通知が届いたら？SQLインジェクションの原因と対処法

「Wordfenceから大量の攻撃をブロックしたというメールが届いた」
「10分間に100件以上の攻撃があったと通知された」
「SQLインジェクションという表示があるけれど、ホームページは大丈夫？」

WordPressのセキュリティ対策としてWordfenceを導入していると、このような通知が届くことがあります。

実際に、株式会社リバースのWebサイトでも、「過去10分間に125件の攻撃をブロックしました」という通知が届いたことがあります。

通知には、海外のIPアドレスからSQLインジェクションと判定されたリクエストが繰り返し送信され、Wordfenceによってブロックされたことが記録されていました。

突然このようなメールが届くと、ホームページが乗っ取られたり、情報が漏えいしたりしていないか心配になるかもしれません。

しかし、攻撃が検知されたことと、実際にWebサイトへの侵入や改ざんが成功したことは別です。

この記事では、Wordfenceから大量攻撃の通知が届いた場合に、何を確認し、どのように対応すればよいのかを解説します。

---

Wordfenceから大量攻撃の通知が届いたら？

Wordfenceは、WordPress向けのセキュリティプラグインです。

主な機能として、Web Application Firewall（WAF）による不審な通信の検知・遮断、マルウェアスキャン、ログインセキュリティなどがあります。

WAFとは、Webサイトに送信される通信を検査し、不正なリクエストをブロックする仕組みです。

Wordfenceでは、一定時間内に多くの攻撃を検知・ブロックした場合、サイト管理者にメールで通知する機能があります。

例えば、今回届いた通知には次のような内容が記載されていました。

• 過去10分間に125件の攻撃をブロックした
• 海外のIPアドレスからアクセスがあった
• SQLインジェクションと判定されたリクエストをブロックした
• WordPress本体やプラグインの更新を推奨している

この通知は、Wordfenceが通常より多い攻撃を検知したことを知らせるものです。

通知が届いたからといって、直ちにホームページが改ざんされたと判断する必要はありません。

ただし、攻撃の種類やサイトの状態によっては追加の確認が必要です。

10分間に125件の攻撃とはどういう意味？

今回の通知では、Wordfenceが過去10分間に125件の攻撃をブロックしたと報告しています。

これは、Wordfenceが攻撃と判定したリクエストを短時間に125件遮断したという意味です。

ただし、125件の攻撃があったからといって、125人の攻撃者がアクセスしたわけではありません。

同じIPアドレスから自動化されたプログラムによって、何度もリクエストが送信されることもあります。

実際に今回の通知では、同一のIPアドレスから、似た内容のSQLインジェクションの試行が繰り返し記録されていました。

このような攻撃は、特定のWebサイトだけを狙っているとは限りません。

インターネット上のWordPressサイトなどを自動的に巡回し、脆弱性がないか調べるプログラムによって行われることもあります。

重要なのは攻撃件数だけではなく、どのような攻撃が行われ、Wordfenceがブロックできているか、サイトに異常が発生していないかを確認することです。

SQLインジェクションとは？

SQLインジェクションとは、Webサイトの入力値やURLのパラメーターなどに不正なSQL文を含め、データベースに意図しない処理を実行させようとする攻撃です。

WordPressでは、投稿記事や固定ページ、ユーザー情報などのデータをデータベースで管理しています。

WebサイトやプラグインにSQLインジェクションの脆弱性が存在し、攻撃が成功した場合、データの不正取得や改ざんなどにつながる可能性があります。

今回の通知では、次のような内容が記録されていました。

• クエリ文字列にSQLインジェクションがあったためブロック
• URLパラメーター「author_exclude」に不審な文字列が含まれていた
• 「UNION SELECT」などのSQL構文が含まれていた

「UNION SELECT」はSQLで使用される構文ですが、今回のようにURLのパラメーターへ不自然な形で挿入されている場合、SQLインジェクションを試みたリクエストである可能性があります。

Wordfenceは、このリクエストをSQLインジェクションとして検知し、ブロックしたと報告しています。

ただし、このログだけでは、攻撃対象となったプラグインや、実際に脆弱性が存在するかどうかまでは特定できません。

対処法① Wordfenceの攻撃ログを確認する

大量攻撃の通知が届いた場合は、まずWordfenceの管理画面を確認しましょう。

WordPressの管理画面にログインし、Wordfenceの「Tools（ツール）」にある「Live Traffic」などから、記録されているアクセス情報を確認できます。

確認したい項目は次のとおりです。

• 攻撃が発生した日時
• アクセス元のIPアドレス
• アクセス先のURL
• 攻撃の種類やブロック理由
• 同じIPアドレスから繰り返しアクセスされているか
• 攻撃が現在も続いているか

Wordfenceのログに「Blocked」などと表示されている場合、そのリクエストはWordfenceによって遮断されたことを示します。

ただし、ログの保存期間や表示される情報は設定やプランによって異なります。

今回の通知では攻撃がブロックされていますが、それだけでサイト全体の安全性が保証されるわけではありません。

対処法② Wordfenceでセキュリティスキャンを実行する

攻撃ログを確認したら、Wordfenceのスキャン機能を使ってWebサイトの状態を確認しましょう。

WordPressの管理画面から「Wordfence」→「Scan」を開き、スキャンを実行します。

Wordfenceのスキャンでは、設定や利用プランに応じて、WordPress本体のファイル変更、不審なファイル、マルウェアの兆候、既知の脆弱性などを確認できます。

特に次のような警告が表示されていないか確認しましょう。

• WordPress本体のファイルに不審な変更がある
• マルウェアの疑いがあるファイルが検出された
• プラグインやテーマに既知の脆弱性がある
• WordPressやプラグインの更新が必要になっている

警告が表示された場合は、内容を確認して適切に対応してください。

なお、スキャンで問題が見つからなかった場合でも、すべての不正プログラムや脆弱性が存在しないと断定することはできません。

サイトに不審な動作がある場合は、サーバーログやファイルの変更履歴なども含めた調査が必要です。

対処法③ WordPress・プラグイン・PHPを確認する

SQLインジェクションなどの攻撃への対策として、WordPress本体やプラグイン、テーマを適切に更新することが重要です。

古いバージョンのまま使用していると、すでに公表されている脆弱性が修正されずに残っている場合があります。

確認しておきたいのは次の項目です。

• WordPress本体がサポート対象のバージョンか
• プラグインに未適用のセキュリティ更新がないか
• テーマに未適用の更新がないか
• 使用していないプラグインやテーマが残っていないか
• PHPがサポート対象のバージョンか

特に、長期間更新されていないプラグインや、開発・サポートが終了したプラグインには注意が必要です。

ただし、WordPressやPHPを更新すると、テーマやプラグインとの互換性によって不具合が発生することがあります。

本番サイトで更新する前にバックアップを取得し、必要に応じてテスト環境で動作確認を行いましょう。

また、今回の攻撃ログだけで、WordPressやPHPのバージョンが原因だと断定することはできません。

対処法④ 攻撃元IPアドレスのブロックを検討する

同じIPアドレスから大量の攻撃が続いている場合は、攻撃元IPアドレスのブロックを検討することもできます。

Wordfenceには、特定のIPアドレスを手動でブロックする機能があります。

ただし、IPアドレスをブロックする際は注意が必要です。

攻撃者がIPアドレスを変更する場合もあるため、特定のIPアドレスをブロックしただけで、すべての攻撃を防げるわけではありません。

また、IPアドレスは複数の利用者で共有される場合もあり、誤ったブロックによって正常なアクセスに影響する可能性があります。

すでにWordfenceが攻撃を適切に遮断している場合、必ずしも追加の手動ブロックが必要とは限りません。

攻撃が継続している場合や、サーバーへの負荷が大きい場合は、レンタルサーバー会社への相談も検討しましょう。

Wordfence無料版でも大丈夫？

Wordfenceには無料版と有料版があります。

無料版でも、Web Application Firewall（WAF）による攻撃の検知・ブロックや、セキュリティスキャンなどの機能を利用できます。

実際に今回の通知でも、Wordfence無料版によってSQLインジェクションと判定された攻撃がブロックされていました。

一方、有料版では、ファイアウォールルールやマルウェア検知シグネチャのリアルタイム更新、リアルタイムIPブロックリスト、国別ブロックなどの追加機能が提供されています。

そのため、無料版と有料版では、新たな脅威への対応速度や利用できる防御機能に違いがあります。

ただし、無料版だから危険、有料版だから絶対に安全というものではありません。

WordPress本体やプラグインの更新、適切なパスワード管理、バックアップなど、基本的なセキュリティ対策と組み合わせて運用することが重要です。

攻撃が続く場合やサイトに異常がある場合は？

Wordfenceの通知が繰り返し届く場合でも、攻撃が適切にブロックされ、サイトが正常に動作していれば、必ずしも侵入が成功しているとは限りません。

一方、次のような異常が確認された場合は、追加の調査が必要です。

• ホームページに身に覚えのないページや文章が追加されている
• 不審なサイトへ自動的に転送される
• WordPress管理画面に知らないユーザーが追加されている
• 管理者のパスワードが変更され、ログインできない
• 不審なファイルがサーバー内に作成されている
• サーバー負荷が急激に高まり、サイトが正常に表示されない

このような症状がある場合は、サイトの改ざんや不正アクセスの可能性を調査する必要があります。

調査前にむやみにファイルを削除したり、WordPressを初期化したりすると、原因を特定するための記録が失われる場合があります。

まずはサーバーのアクセスログや関連ファイルなどの証拠を保全し、必要に応じて専門業者へ相談しましょう。

また、管理者アカウントの認証情報が流出した可能性がある場合は、安全な端末からパスワードを変更するなどの対応も必要です。

まとめ｜攻撃通知が届いたら確認したいこと

Wordfenceから「短時間に大量の攻撃をブロックしました」という通知が届いても、それだけでWebサイトが乗っ取られたり、改ざんされたりしたと判断する必要はありません。

今回ご紹介した事例でも、10分間に125件の攻撃が検知され、SQLインジェクションと判定されたリクエストがWordfenceによってブロックされていました。

大切なのは、攻撃が何件あったかだけで判断せず、攻撃ログ、スキャン結果、WordPressの更新状況、サイトの動作状態を確認することです。

また、WordPress本体やプラグイン、PHPを古いまま放置せず、日頃からバックアップやセキュリティ対策を行うことも重要です。

大阪本町を拠点とするデザイン会社リバースでは、WordPressサイトの保守管理、PHP・WordPressのアップデート、Webサイトのセキュリティ対策、サーバー移行などに対応しています。

「Wordfenceから攻撃通知が届き、ホームページの安全性が心配」
「WordPressやPHPのバージョンが古いままになっている」
「セキュリティ対策や保守管理を見直したい」

そんな場合は、お気軽にご相談ください。

株式会社リバースのホームページはこちら