Point（結論）
悪意のあるリダイレクトは、.htaccessやwp-config.phpなどの重要ファイルが改ざんされることで発生する。定期的なファイルチェックと適切な権限設定で予防でき、発見した場合はバックアップから復元するか、不正なコードを削除して修復できる。
サイトが勝手に別のサイトに飛ばされる恐怖
あれは確か、2年くらい前だったかな。いや、もしかしたら3年前かもしれない。まあ、そのへんはどうでもいいんだけど、クライアントから緊急の電話がかかってきた。「サイトにアクセスすると、変なサイトに飛ばされるんです！」って。声がすごく焦ってた。
僕もすぐにそのサイトにアクセスしてみた。そしたら、本当に別のサイトに飛ばされた。それも、怪しい広告サイトに。「うわ、これは…リダイレクトハッキングだ」って、すぐに分かった。心臓がバクバクした。
最初、「どこから手をつければいいんだ？」って思った。正直、焦った。でも、深呼吸して、落ち着いて、まずは.htaccessファイルをチェックすることにした。で、FTPでサーバーに接続して、.htaccessファイルをダウンロードした。
そしたら、見慣れないコードがずらっと書かれてた。RewriteRuleとか、RewriteCondとか、外部URLへのリダイレクト設定が追加されてた。「これだ！」って思った。で、そのコードを削除して、.htaccessファイルをアップロードし直した。手が震えてた。
そしたら、サイトが正常に表示されるようになった。「よし、これで解決だ」って思った。ホッとした。でも、それだけじゃダメなんだよね。なぜこうなったのか、原因を突き止めないと、また同じことが起きる。で、「原因を探さないと」って思った。
いろいろ調べてみたら、古いプラグインに脆弱性があって、そこから侵入されてたことが分かった。で、そのプラグインを削除して、セキュリティプラグインを導入して、ファイル権限も見直した。これは結構時間がかかった。
それ以来、そのサイトは一度もリダイレクトハッキングの被害に遭ってない。でも、この経験で、リダイレクトハッキングの怖さと、予防の大切さを痛感した。本当に怖かったな。
今回は、悪意のあるリダイレクトの検出方法と、.htaccessファイルの修復方法について、僕の経験を交えながら詳しく解説していく。
リダイレクトハッキングとは何か？
リダイレクトハッキングっていうのは、WordPressサイトが改ざんされて、訪問者が勝手に別のサイトに飛ばされる攻撃のこと。これは本当に厄介で、気づかないうちに被害が広がることもある。で、「これは本当に怖い」って思う。
リダイレクトハッキングの仕組み
攻撃者は、WordPressサイトの重要なファイルに不正なコードを埋め込む。で、訪問者がサイトにアクセスすると、そのコードが実行されて、別のサイトに飛ばされる。これは本当に巧妙で、管理者が気づかないこともある。僕も最初は気づかなかった。
厄介なのは、検索エンジンからのアクセスだけリダイレクトされるとか、スマホからのアクセスだけリダイレクトされるとか、そういう条件付きのリダイレクトもあること。だから、管理者が気づかないまま、訪問者だけが被害に遭うこともある。これは本当に悪質だと思う。
リダイレクトハッキングの目的
攻撃者がリダイレクトハッキングをする目的は、主に以下の3つ。で、それぞれの目的を理解しておくことが大事。
まず、広告収入を得るため。訪問者を広告サイトに飛ばして、広告収入を得る。これは一番多いパターンだと思う。で、「これは本当に迷惑だ」って思う。
次に、フィッシング詐欺。訪問者を偽のログインページに飛ばして、IDやパスワードを盗む。これは本当に悪質で、被害者が増えると大変なことになる。僕も、クライアントからフィッシング詐欺の被害報告を受けたことがある。
最後に、マルウェアの配布。訪問者を悪意のあるサイトに飛ばして、マルウェアをダウンロードさせる。これも本当に危険で、訪問者のパソコンが感染することもある。で、「これは本当にヤバい」って思う。
リダイレクトハッキングの症状
リダイレクトハッキングの症状は、いくつかある。で、それぞれの症状を理解しておくことが、早期発見につながる。
まず、サイトにアクセスすると別のサイトに飛ばされる。これは一番分かりやすい症状。で、「あれ、おかしいな」ってすぐに気づく。
検索エンジンからのアクセスだけリダイレクトされることもある。これは、管理者が気づきにくい。だって、直接URLを入力してアクセスすると正常に表示されるから。で、「なんで訪問者だけ被害に遭うんだ？」って思う。
あと、スマホからのアクセスだけリダイレクトされることもある。これも、管理者がパソコンでアクセスしてると気づかない。で、「スマホだけ？」って思う。
それから、管理画面は正常だけど、フロントエンドがリダイレクトされることもある。これも厄介で、管理者が気づかないまま、訪問者だけが被害に遭う。で、「これは本当に悪質だ」って思う。
リダイレクトハッキングの原因
リダイレクトハッキングの原因は、いくつかある。で、それぞれの原因を理解しておくことが、予防につながる。僕も、これらの原因を理解してから、予防策を講じるようになった。
1. .htaccessファイルの改ざん
.htaccessファイルっていうのは、Apacheサーバーの設定ファイル。WordPressでは、パーマリンク設定とか、リダイレクト設定とかに使われる。で、このファイルが改ざんされると、訪問者が勝手に別のサイトに飛ばされる。
攻撃者は、不正なRewriteRuleとか、RewriteCondとか、Redirectとかを追加して、訪問者を別のサイトに飛ばす。これは本当に厄介で、.htaccessファイルをチェックしないと気づかない。で、ファイル権限が甘いと、簡単に改ざんされる。僕も、ファイル権限を見直してから、改ざんされなくなった。
2. wp-config.phpの改ざん
wp-config.phpっていうのは、WordPressの設定ファイル。データベースの接続情報とか、セキュリティキーとかが書かれてる。で、このファイルが改ざんされると、リダイレクトハッキングの温床になる。
攻撃者は、不正なコードを追加して、訪問者を別のサイトに飛ばす。wp-config.phpは、WordPressの心臓部みたいなファイルだから、ここが改ざんされると本当に大変。だから、ファイル権限を厳しく設定しておくことが大事。僕も、wp-config.phpのパーミッションを400に設定してる。
3. テーマファイルの改ざん
テーマファイル、特にfunctions.phpとか、header.phpとか、footer.phpとかが改ざんされることもある。で、これらのファイルに不正なコードが埋め込まれると、訪問者が別のサイトに飛ばされる。
攻撃者は、外部スクリプトを読み込むコードとか、リダイレクトするコードとかを追加する。テーマファイルは、サイトの見た目を決めるファイルだから、ここが改ざんされると、訪問者全員に影響が出る。だから、定期的にチェックすることが大事。僕も、月に一度はチェックしてる。
4. プラグインの脆弱性
古いプラグインとか、脆弱性のあるプラグインが狙われることもある。攻撃者は、プラグインの脆弱性を突いて、サイトに侵入する。で、侵入したら、不正なコードを埋め込んで、訪問者を別のサイトに飛ばす。
あと、不正なプラグインがインストールされることもある。プラグインは、WordPressの機能を拡張するために便利だけど、古いプラグインとか、脆弱性のあるプラグインは本当に危険。だから、常に最新の状態に保つことが大事。僕も、プラグインの更新は欠かさずやってる。
5. データベースの改ざん
データベースが改ざんされることもある。特に、wp_optionsテーブルのsiteurlとかhomeとかが書き換えられることがある。で、これらが書き換えられると、サイト全体が別のURLにリダイレクトされる。
あと、wp_postsテーブルに不正なコードが挿入されることもある。データベースは、WordPressのすべての情報が保存されてる場所だから、ここが改ざんされると本当に大変。だから、定期的にバックアップを取っておくことが大事。僕も、毎日バックアップを取ってる。
リダイレクトハッキングの検出方法
リダイレクトハッキングを検出する方法は、いくつかある。で、早期発見が被害を最小限に抑える鍵になる。僕も、早期発見のおかげで、被害を最小限に抑えられた。
1. 実際にサイトにアクセスしてみる
まず、自分のサイトにアクセスしてみる。で、別のサイトに飛ばされないかチェックする。これは一番簡単な方法。でも、条件付きのリダイレクトもあるから、いろんな方法でアクセスしてみることが大事。
検索エンジンからアクセスしてみるとか、スマホからアクセスしてみるとか。あと、シークレットモードでアクセスしてみるのもいい。キャッシュとかクッキーとかの影響を受けないから、正確にチェックできる。僕も、シークレットモードでチェックすることが多い。
2. .htaccessファイルをチェックする
.htaccessファイルをFTPとかファイルマネージャーでダウンロードして、中身をチェックする。で、見慣れないコードとか、外部URLへのリダイレクト設定とかがないか確認する。
特に、RewriteRuleとか、RewriteCondとか、Redirectとかの記述をチェックする。これらは、リダイレクト設定に使われるから、不正なコードが追加されてることが多い。で、もし見慣れないコードがあったら、すぐに削除する。
でも、削除する前に、バックアップを取っておくことが大事。万が一、間違って必要なコードを削除しちゃったら、復元できるから。僕も、削除する前は必ずバックアップを取ってる。
3. wp-config.phpをチェックする
wp-config.phpも、FTPとかファイルマネージャーでダウンロードして、中身をチェックする。で、不正なコードが追加されてないか確認する。
特に、base64_decodeとか、evalとか、gzinflateとかの怪しい関数をチェックする。これらは、不正なコードを実行するためによく使われる。で、もし怪しいコードがあったら、すぐに削除する。
でも、wp-config.phpは重要なファイルだから、削除する前に、バックアップを取っておくことが大事。僕も、wp-config.phpを編集する前は、必ずバックアップを取ってる。
4. テーマファイルをチェックする
テーマファイル、特にfunctions.phpとか、header.phpとか、footer.phpとかをチェックする。で、不正なコードとか、外部スクリプトの読み込みとかがないか確認する。
テーマファイルは、サイトの見た目を決めるファイルだから、ここに不正なコードが埋め込まれると、訪問者全員に影響が出る。だから、定期的にチェックすることが大事。僕も、月に一度はチェックしてる。
5. プラグインをチェックする
プラグインもチェックする。不正なプラグインがインストールされてないか確認する。あと、更新されてないプラグインもチェックする。
古いプラグインとか、脆弱性のあるプラグインは、攻撃者に狙われやすい。だから、常に最新の状態に保つことが大事。僕も、プラグインの更新は欠かさずやってる。
6. データベースをチェックする
データベースもチェックする。特に、wp_optionsテーブルのsiteurlとかhomeとかをチェックする。で、これらが正しいURLになってるか確認する。
あと、wp_postsテーブルに不正なコードが挿入されてないかもチェックする。データベースは、WordPressのすべての情報が保存されてる場所だから、ここが改ざんされると本当に大変。僕も、定期的にデータベースをチェックしてる。
7. セキュリティプラグインでスキャンする
Wordfenceとか、Sucuriとか、iThemes Securityとかのセキュリティプラグインを使って、サイトをスキャンする。これらのプラグインは、不正なファイルとか、マルウェアとかを自動で検出してくれる。
スキャン結果を見て、問題があったら修復する。セキュリティプラグインは、本当に便利で、定期的にスキャンすることで、早期発見できる。僕も、Wordfenceを使ってて、毎日スキャンしてる。
.htaccessファイルの修復方法
.htaccessファイルが改ざんされた場合、修復する方法は、いくつかある。で、それぞれの方法を理解しておくことが大事。僕も、これらの方法を理解してから、修復がスムーズになった。
1. バックアップから復元する
まず、バックアップがあれば、そこから復元する。これは一番簡単で確実な方法。で、バックアップから.htaccessファイルを取り出して、FTPとかファイルマネージャーでアップロードする。
そしたら、サイトが正常に表示されるようになる。でも、バックアップがない場合は、次の方法を試す。僕も、バックアップがあるときは、この方法で復元してる。
2. 不正なコードを削除する
バックアップがない場合は、.htaccessファイルをダウンロードして、不正なコードを削除する。で、見慣れないコードとか、外部URLへのリダイレクト設定とかを削除する。
特に、RewriteRuleとか、RewriteCondとか、Redirectとかの不正な記述を削除する。削除したら、.htaccessファイルをアップロードし直す。そしたら、サイトが正常に表示されるようになる。
でも、削除する前に、バックアップを取っておくことが大事。万が一、間違って必要なコードを削除しちゃったら、復元できるから。僕も、削除する前は必ずバックアップを取ってる。
3. デフォルトの.htaccessに戻す
もし、どのコードが不正なのか分からない場合は、デフォルトの.htaccessファイルに戻す。WordPressのデフォルトの.htaccessファイルは、以下のような内容。
# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPressこの内容を.htaccessファイルに書いて、アップロードする。そしたら、サイトが正常に表示されるようになる。あと、WordPressの管理画面から、「設定」→「パーマリンク設定」を開いて、「変更を保存」をクリックすると、.htaccessファイルが自動で再生成される。
これも便利な方法。僕も、どのコードが不正なのか分からないときは、この方法で復元してる。
4. ファイル権限を適切に設定する
.htaccessファイルを修復したら、ファイル権限を適切に設定する。.htaccessのパーミッションは、644に設定するのが一般的。で、644っていうのは、所有者が読み書きできて、グループとその他は読み取りだけできる設定。
これで、不正な書き込みを防げる。ファイル権限は、FTPソフトとかファイルマネージャーで設定できる。で、設定したら、もう一度サイトにアクセスして、正常に表示されるか確認する。僕も、ファイル権限を644に設定してから、改ざんされなくなった。
その他の重要ファイルの修復方法
.htaccessファイルだけじゃなくて、wp-config.phpとか、テーマファイルとかも改ざんされることがある。で、これらのファイルも修復する方法を知っておくことが大事。僕も、これらのファイルの修復方法を知ってから、安心できるようになった。
wp-config.phpの修復
wp-config.phpが改ざんされた場合も、バックアップから復元するか、不正なコードを削除する。で、wp-config.phpは、WordPressの設定ファイルだから、ここが改ざんされると本当に大変。
だから、バックアップがあれば、そこから復元するのが一番確実。バックアップがない場合は、wp-config.phpをダウンロードして、不正なコードを削除する。特に、base64_decodeとか、evalとか、gzinflateとかの怪しい関数をチェックして、削除する。
削除したら、wp-config.phpをアップロードし直す。そしたら、サイトが正常に表示されるようになる。あと、wp-config.phpのパーミッションは、400とか440に設定するのが一般的。これで、不正な書き込みを防げる。僕も、wp-config.phpのパーミッションを400に設定してる。
テーマファイルの修復
テーマファイルが改ざんされた場合も、バックアップから復元するか、不正なコードを削除する。で、テーマファイルは、functions.phpとか、header.phpとか、footer.phpとかが狙われやすい。
だから、これらのファイルをチェックして、不正なコードを削除する。削除したら、テーマファイルをアップロードし直す。そしたら、サイトが正常に表示されるようになる。
あと、テーマファイルは、WordPressの公式テーマとか、信頼できるテーマを使うことが大事。無料のテーマとか、怪しいテーマは、不正なコードが埋め込まれてることもあるから、注意が必要。僕も、公式テーマを使うようにしてる。
プラグインの修復
プラグインが改ざんされた場合は、そのプラグインを削除して、再インストールする。で、プラグインは、WordPressの公式プラグインとか、信頼できるプラグインを使うことが大事。
無料のプラグインとか、怪しいプラグインは、不正なコードが埋め込まれてることもあるから、注意が必要。あと、プラグインは、常に最新の状態に保つことが大事。古いプラグインとか、脆弱性のあるプラグインは、攻撃者に狙われやすい。僕も、プラグインの更新は欠かさずやってる。
データベースの修復
データベースが改ざんされた場合は、バックアップから復元するか、不正なコードを削除する。で、データベースは、phpMyAdminとかで直接編集できる。
でも、データベースを直接編集するのは、リスクが高いから、バックアップを取ってから作業することが大事。特に、wp_optionsテーブルのsiteurlとかhomeとかをチェックして、正しいURLになってるか確認する。
あと、wp_postsテーブルに不正なコードが挿入されてないかもチェックする。僕も、データベースを編集する前は、必ずバックアップを取ってる。
リダイレクトハッキングの予防策
リダイレクトハッキングを予防する方法は、いくつかある。で、予防することが、被害を最小限に抑える鍵になる。僕も、予防策を講じてから、リダイレクトハッキングの被害に遭わなくなった。
1. ファイル権限を適切に設定する
まず、ファイル権限を適切に設定する。.htaccessのパーミッションは644、wp-config.phpのパーミッションは400とか440に設定する。で、これで、不正な書き込みを防げる。
ファイル権限は、FTPソフトとかファイルマネージャーで設定できる。僕も、ファイル権限を適切に設定してから、改ざんされなくなった。
2. 定期的なファイルチェック
定期的に、.htaccessとか、wp-config.phpとか、テーマファイルとかをチェックする。で、不正なコードが追加されてないか確認する。
これは、手動でチェックするのもいいけど、セキュリティプラグインを使って、自動でチェックするのもいい。Wordfenceとか、Sucuriとか、iThemes Securityとかは、定期的にスキャンしてくれる。僕も、Wordfenceを使ってて、毎日スキャンしてる。
3. WordPressとプラグインの更新
WordPressコアとか、プラグインとか、テーマとかを常に最新の状態に保つ。古いバージョンは、脆弱性があることが多いから、攻撃者に狙われやすい。
更新は、WordPressの管理画面から簡単にできる。「ダッシュボード」→「更新」を開いて、「今すぐ更新」をクリックするだけ。でも、更新する前に、バックアップを取っておくことが大事。
万が一、更新で問題が起きたら、バックアップから復元できるから。僕も、更新する前は必ずバックアップを取ってる。
4. セキュリティプラグインの導入
Wordfenceとか、Sucuriとか、iThemes Securityとかのセキュリティプラグインを導入する。これらのプラグインは、不正なファイルとか、マルウェアとかを自動で検出してくれる。
定期的にスキャンして、問題があったら修復する。セキュリティプラグインは、本当に便利で、リダイレクトハッキングの予防に効果的。僕も、Wordfenceを使ってて、毎日スキャンしてる。
5. バックアップの定期的な取得
定期的にバックアップを取得する。で、バックアップがあれば、万が一リダイレクトハッキングの被害に遭っても、すぐに復元できる。
バックアップは、UpdraftPlusとか、BackWPupとかのプラグインを使って、自動で取得できる。で、バックアップは、外部のストレージ（Google DriveとかDropboxとか）に保存しておくことが大事。僕も、毎日バックアップを取ってて、Google Driveに保存してる。
6. 強力なパスワードの使用
WordPressの管理画面のパスワードは、強力なものを使う。で、パスワードは、英数字と記号を組み合わせて、12文字以上にする。
あと、パスワードは、定期的に変更することが大事。で、同じパスワードを複数のサイトで使い回さないことも大事。僕も、パスワードマネージャーを使ってて、強力なパスワードを生成してる。
7. 二段階認証の導入
二段階認証を導入する。で、二段階認証は、パスワードだけじゃなくて、スマホのアプリとかで生成されるコードも入力する必要がある。
これで、パスワードが漏洩しても、不正なログインを防げる。二段階認証は、Google AuthenticatorとかのプラグインでWordPressに導入できる。僕も、二段階認証を導入してて、安心してる。
よくある質問（FAQ）
Q1: リダイレクトハッキングの被害に遭ったら、まず何をすればいいですか？
まず、落ち着いて、サイトを一時的に閉鎖する。で、訪問者が被害に遭わないようにする。次に、.htaccessとか、wp-config.phpとか、テーマファイルとかをチェックして、不正なコードを削除する。
バックアップがあれば、そこから復元する。最後に、セキュリティプラグインでスキャンして、問題がないか確認する。で、問題がなければ、サイトを再開する。僕も、この手順で復元してる。
Q2: .htaccessファイルが見つからない場合、どうすればいいですか？
.htaccessファイルは、隠しファイルだから、FTPソフトとかファイルマネージャーで「隠しファイルを表示する」設定にしないと見えない。で、それでも見つからない場合は、.htaccessファイルが存在しないか、削除されてる可能性がある。
その場合は、デフォルトの.htaccessファイルを作成する。WordPressの管理画面から、「設定」→「パーマリンク設定」を開いて、「変更を保存」をクリックすると、.htaccessファイルが自動で生成される。僕も、この方法で.htaccessファイルを生成したことがある。
Q3: リダイレクトハッキングの被害に遭った後、どうすれば再発を防げますか？
まず、ファイル権限を適切に設定する。.htaccessのパーミッションは644、wp-config.phpのパーミッションは400とか440に設定する。次に、WordPressコアとか、プラグインとか、テーマとかを常に最新の状態に保つ。
古いバージョンは、脆弱性があることが多いから、攻撃者に狙われやすい。最後に、セキュリティプラグインを導入して、定期的にスキャンする。で、バックアップも定期的に取得する。僕も、これらの予防策を講じてから、リダイレクトハッキングの被害に遭わなくなった。
Q4: セキュリティプラグインは、どれを使えばいいですか？
Wordfenceとか、Sucuriとか、iThemes Securityとかが有名で、信頼できる。で、僕はWordfenceをよく使ってる。Wordfenceは、無料版でも十分な機能があって、定期的にスキャンしてくれる。
あと、ファイアウォール機能もあって、不正なアクセスをブロックしてくれる。Sucuriも、有料だけど、強力なセキュリティ機能がある。で、iThemes Securityも、無料版でも十分な機能がある。僕も、Wordfenceを使ってて、毎日スキャンしてる。
Q5: リダイレクトハッキングの被害に遭った場合、Googleにペナルティを受けますか？
リダイレクトハッキングの被害に遭った場合、Googleにペナルティを受ける可能性がある。で、検索結果から除外されることもある。でも、すぐに修復して、Googleに報告すれば、ペナルティは解除される。
Googleの「Search Console」から、「セキュリティの問題」を確認して、修復したら「審査をリクエスト」をクリックする。で、Googleが審査して、問題がなければ、ペナルティは解除される。でも、審査には時間がかかることもあるから、早めに修復することが大事。僕も、Googleに報告して、ペナルティを解除してもらったことがある。
まとめ
悪意のあるリダイレクトは、.htaccessやwp-config.phpなどの重要ファイルが改ざんされることで発生する。定期的なファイルチェックと適切な権限設定で予防でき、発見した場合はバックアップから復元するか、不正なコードを削除して修復できる。
リダイレクトハッキングは、本当に厄介で、気づかないうちに被害が広がることもある。でも、定期的にチェックして、適切な予防策を講じれば、被害を最小限に抑えられる。で、一番大事なのは、バックアップを定期的に取得すること。
バックアップがあれば、万が一被害に遭っても、すぐに復元できる。あと、セキュリティプラグインを導入して、定期的にスキャンすることも大事。Wordfenceとか、Sucuriとか、iThemes Securityとかは、本当に便利で、リダイレクトハッキングの予防に効果的。
それから、WordPressコアとか、プラグインとか、テーマとかを常に最新の状態に保つことも大事。古いバージョンは、脆弱性があることが多いから、攻撃者に狙われやすい。最後に、ファイル権限を適切に設定することも忘れないでほしい。
.htaccessのパーミッションは644、wp-config.phpのパーミッションは400とか440に設定する。これで、不正な書き込みを防げる。リダイレクトハッキングは、本当に怖いけど、適切な予防策を講じれば、被害を防げる。
万が一被害に遭っても、落ち着いて対処すれば、復元できる。だから、定期的にチェックして、セキュリティ対策を怠らないことが大事。僕も、これらの予防策を講じてから、安心してWordPressサイトを運営できるようになった。
WordPressのセキュリティ、不安に思っていませんか？
「自分のサイトは大丈夫だろうか…」
「何から手をつければいいか分からない…」
もしあなたが少しでもそう感じているなら、専門家によるセキュリティ診断を受けてみることを強くお勧めします。
上記のサイトでは、WordPressのプロがあなたのサイトの脆弱性を無料で診断してくれます。問題が見つかれば、具体的な対策方法についてもアドバイスをもらえます。手遅れになる前に、一度プロの目でチェックしてもらい、安心を手に入れましょう。