WordPressが乗っ取られていないか確かめる6つのチェックポイント

こんにちは！アントロンのNaokoです。

自分のサイトが乗っ取られていないか、不安になったことはありませんか？

私は先日、アクセス解析で知らない国からのアクセスが増えているのを見て、「もしかして乗っ取られている？」と心配になりました。そこで、AIの Claude Code（パソコンで作業を頼めるAIのこと）に点検を頼み、結果を一緒に確かめました。サイトの設定やファイルは何も変えず、読むだけの点検です。

先に結論を書くと、乗っ取りの跡は見つかりませんでした。この記事では、何がきっかけで心配になったか、どう考えて確かめたか、実際に見た6つの点をまとめます。

知らない国からのアクセスが増えて、乗っ取りが心配になった

きっかけは、GA4（Google のアクセス解析のこと）の数字です。直近7日のアクティブユーザー（サイトを見に来た人の数のこと）を国別に見ると、次のようになっていました。

• China：28
• Japan：5

人が読みに来ているというより、海外から機械的にページを読み込んでいるものが混ざっているのだろう、と見ています。ただし、これは推測で、正体までは確かめていません。

私が心配したのは、Google が「ハッキングされたコンテンツ」と呼んでいるものでした。サイトを乗っ取って、検索結果に関係のない広告や偽のページを出させるものです。もし入れられていたら、気づかないうちに、自分のサイトの名前で怪しいページが検索結果に並ぶことになります。

その1つ「日本語キーワード ハック」については、Google が対処のガイドを出しています。

乗っ取られていないかは、外から見える所で確かめられる

乗っ取りを疑うと、サーバーの中のファイルを全部調べないといけない気がします。でも、その前に、外から見える所と、Google が教えてくれる所で確かめられることがあります。

考え方は次の2つです。

• 乗っ取られると、Google に見せているページや、Google に登録されているページに、知らないものが出てくる。だから、Google から見たサイトの姿を確かめる
• 乗っ取られると、管理画面に知らない人が入れるようになっていることがある。だから、WordPress（このサイトを作っているソフトのこと）に入れる人を確かめる

どちらも、サイトを変えずに見るだけでできます。

実際に確かめた6つのこと

Claude Code に頼んで調べてもらい、結果を私も画面で確かめました。それぞれに、Claude Code に頼んだ所と、自分で見られる場所を書いておきます。

1. Googlebot（Google のクローラー）に見せているページが、ふつうのページと同じか
乗っ取りの中には、Googlebot（Google がページを集めに来るクローラーのこと）にだけ別のページを見せるものがあります。そこで、Googlebot のふりをして取ったページと、ふつうに取ったページを比べました。トップページ・お問い合わせ（/contact/）・ブログ一覧（/blog/）の3つとも同じでした。
（ここは Claude Code に頼みました。自分で確かめるなら、Google の対処ガイドにある Search Console の「URL 検査」が案内されています。今回は使っていません）

2. サイトマップに、知らないページが無いか
サイトマップ（サイトのページ一覧を Google に伝えるためのファイルのこと）に載っている URL は、すべて自分で作ったページでした。
（ここは Claude Code に頼みました。サイトマップは https://untronc.jp/sitemap.xml のように、ブラウザで開いて見られます）

3. WordPress のユーザーが自分だけか
WordPress に登録されているユーザー（管理画面に入れる人のこと）は、私1人だけでした。
（ここは WordPress の管理画面で見られます）

4. Search Console に警告が出ていないか
Search Console（Google 検索での見え方を確かめられる、Google の無料のツールのこと）には、乗っ取りなどを知らせる「セキュリティの問題」と、Google がサイトに対策をしたことを知らせる「手動による対策」の画面があります。どちらも「問題は検出されませんでした」でした。
（ここは Search Console で見られます）

5. Google に登録されていないページに、知らないものが無いか
Search Console では、インデックス（Google の検索結果に載せるための登録のこと）に登録されていないページも一覧で見られます。Google に登録されていないページ25件も、すべて自分のページやカテゴリ・タグ（記事の分類のこと）のページでした。
（ここは Search Console で見られます）

6. 検索されている言葉に、怪しいものが無いか
Search Console の「検索パフォーマンス」で、このサイトが表示された検索の言葉（クエリ）を見ました。怪しい言葉はありませんでした。
（ここは Search Console で見られます）

分かったことと、確かめていないこと

6つとも、乗っ取りの跡は見つかりませんでした。Google から見たこのサイトは、自分で作ったページだけでできている、ということです。

一方で、次のことは今回見ていません。

• サーバーに置いてあるファイルそのもの
• Search Console の所有者（知らない人が追加されていないか）
• URL 検査ツールでの確認

あとの2つは、上の Google の対処ガイドで確かめるよう書かれていることです。今回の点検で分かるのは、「外から見える所と Google の記録に、乗っ取りの跡は出ていない」までです。知らない国からのアクセスの正体も、推測のままです。

まずは Search Console の「セキュリティの問題」を開いてみてください

同じように不安を感じている方は、まず Search Console の「セキュリティの問題」の画面を開いてみてください。「問題は検出されませんでした」と出ていれば、Google はいまのところ乗っ取りを見つけていない、ということです。

あわせて、WordPress の管理画面の「ユーザー」を開いて、知らない人が登録されていないかを見ておくと安心です。どちらも見るだけなので、サイトが壊れる心配はありません。

Claude Code の使い方はこちらの記事にまとめています。

気になることがあれば、お問い合わせからどうぞ。

最後まで読んでくださりありがとうございました！