見つけるきっかけとなる兆候
身に覚えのないページやユーザー、外部リンク、検索結果の不自然な説明、ファイル増加、定期実行の追加などです。キャッシュ、CDN、アクセス条件で表示が変わるため、一台のPCで再現しないだけでは問題を否定できません。
原因を調べる情報
発生前後のアクセスログ、管理操作、変更ファイル、利用製品の脆弱性、サーバーアカウントを照合します。更新日時だけでは正規作業と不正変更を区別できません。コアのチェックサム検証も、テーマやDBを含む全体の安全確認とは異なります。
復旧までの基本的な流れ
証拠保全、公開範囲の制限、影響調査、原因の対処、信頼できる構成の再配置、検証、公開再開の順に計画します。不正ページを消すだけでなく、残存する入口や実行処理がないか確認します。
再公開後の確認
各端末・未ログイン状態の表示、検索エンジン向け設定、不正URL、フォーム、外部転送を確認します。検索サービスでの警告やインデックスの変更は、サイト内の復旧と同時に解消されるとは限りません。監視と必要な再審査を別に管理します。
表示条件で変わる改ざんの調査
検索結果から来た利用者だけ、スマートフォンだけ、未ログインだけに転送が出る場合があります。再現条件、参照元、端末、日時を記録し、CDNとサーバーのログ、テーマ・製品・DBの内容と照合します。普段の管理者ブラウザーで正常に見えることだけで復旧完了にしないでください。
正常な配布物との比較
本体や公式配布の製品は、信頼できる配布物との比較が手掛かりになります。独自改修との差を保存し、不明ファイルが正規の業務コードでないかを確認します。自動判定の警告を全て削除対象にするのではなく、根拠を調べます。
よくある質問
コアの整合性確認に通れば改ざんはありませんか？
コア以外のファイルやDB、外部設定の問題は別です。確認した範囲を明示し、権限や定期処理、独自コードも必要に応じて調べます。
古いバックアップを戻すのが一番早いですか？
正常な時点か、データ差分、原因が残らないかを確認します。速さだけで戻すと、同じ問題を再公開したり新しい受注を失ったりする可能性があります。