サイトがハッキングされたら：発見、駆除、強化、再インデックス

サイトがハッキングされたら：発見、駆除、強化、再インデックス

1. ハッキング後の最初の疑問：どうやって気づくのか

まず境界を整理します。セキュリティ基準では事前の防御策の設定方法を扱い、インデックス診断ではインデックス異常の一般的な調査方法を扱います。本記事は事後対応のみを扱い、異常に気づいた瞬間からインデックス回復、振り返りが終わるまでの一連の流れとスケジュールを解説します。防御策をどれだけ整えても確率が下がるだけで、ハッキングされないわけではありません。だからこそ事後対応の流れは、サイトを持つすべての企業が知っておくべきものです。

気づくきっかけは通常4つあり、多くのB2Bサイトは最初の2つで異変に気づきます。

ここで多くの人が過小評価している事実があります。経営者自身がスパムページを見つけたときには、汚染されたコンテンツはすでに数週間インデックスされているのが普通です。企業サイトは日常の訪問者が少ないため、リダイレクトハイジャックはまず検索エンジンにクロール・インデックスされ、その後で偶然目にされることが多いのです。ですから「早期発見」という言葉よりも、毎月1回は自分のブランド名で検索して結果を確認するという習慣のほうが現実的です。この作業は月次メンテナンスチェックリストに組み込めます。所要時間は1分です。

2. 最初の1時間にやる3つのこと：まず証拠保全、次に駆除

ハッキングに気づいてからの最初の1時間にやるのは駆除ではなく、3つの準備です。順序を逆にしてはいけません。

なぜフォレンジックをクリーンアップより先に行うのか。理由は2つある。第一に、侵入経路の証拠（どのファイルが変更され、いつ変更され、どのアカウントからログインしたか）は、ファイルを削除したりディレクトリを上書きしたりすると消えてしまい、後から侵入原因を特定しようとしても推測しかできなくなる。第二に、いきなりファイルを操作するとバックドアスクリプトに気づかれる可能性があり、一部のバックドアは削除を検知するとデータ破壊を引き起こしたり、同一ホスト上の他のサイトに感染を広げたりする。フォレンジックパッケージはサイト外のローカルまたはクラウドストレージに保存し、感染したサーバー上に残さないこと。

パスワード変更は一度にすべて行う。1つでも漏らせばクリーンアップが無駄になる。よくある漏れはFTPとデータベースのアカウントで、管理画面のパスワードしか変えていない人が多い。感染範囲を判断する際は同一ホスト上の複数サイトに注意する。1台のサーバーに本番サイト、テストサイト、旧サイトが載っている場合、攻撃者は最も弱いサイトから侵入する。本番サイトだけをクリーンアップして同一ホスト上の他のサイトを放置すると、数日後に再び改ざんされる。

三、クリーンアップの3層：ファイル、データベース、バックドア

クリーンアップは3層に分けて進める。層ごとに検査対象と方法が異なる。

バックドアが潜む場所にはパターンがある：

3層の中でバックドア層が最も見落とされやすい。スパムページと注入コンテンツだけを削除し、バックドアファイルを1つ残すと、数日後にページが再び出現する。これが「クリーンアップしたのに再発する」最も一般的な原因であり、多くの人が「ハッキングは除去できない」と誤解する本当の理由でもある。基本はサイト全体を更新日時で並べ替え、侵入期間と一致するファイルを1つずつ確認すること。判断に迷うファイルは公式パッケージと照合する。同じ層の原則がもう1つある。クリーンアップ完了後にもう一度スキャンし、3層すべてに残留がないことを確認してから次のステップに進む。

四、バックアップからの復元：条件と落とし穴

バックアップ体制が整っていれば、復旧は階層ごとのクリーンアップより速いことが多い。ただし復旧には3つの前提条件があり、1つでも欠けると進められない。

最大の落とし穴は、復旧ポイントが感染時刻より後になることだ。すでにバックドアが仕込まれたバックアップでサイトを復旧するのは、侵入者を招き戻すのと同じである。感染時刻を判断する手がかりには、不審なファイルの更新時刻、アクセスログに初めて現れた見慣れないIPからの管理画面ログイン、スパムページが初めてインデックスされた時刻などがある。これが2時間目のフォレンジックで取得したデータの価値でもある。もう1つのよくある誤りは、復旧後にパスワードを変更しないことだ。パスワードがデータベースに平文や弱いハッシュで保存されているケースは少なくなく、攻撃者が持つ古いパスワードが依然として有効な可能性がある。

五、5つの強化項目と侵入経路の振り返り

クリーンアップまたは復旧の後は、必ず5つの強化項目を完了させる。そうしなければ再び攻撃を受ける可能性が高い。

振り返りでは4つの問いに答え、1ページの文書にまとめて保管する。侵入はどこから入ったか(期限切れのプラグイン、リスト型攻撃で破られた弱いパスワード、同じホスト上の他サイトの侵害)。なぜ以前は発見できなかったか(どの監視が欠けていたか)。発見からクリーンアップ完了までどれだけかかったか。バックアップと復旧訓練は今回の事故で機能したか。この文書の価値は次回にある。ほとんどのサイトは生涯に一度ならず攻撃を受ける。同じ種類の穴を二度目に破られるのは管理上の問題である。監視アラートに不足があれば補い、その不足は月次メンテナンスのチェック項目と一致させる。

六、Googleへの申請とスパムページの収束

申請のタイミングの原則はただ1つ。クリーンアップ完了後に提出すること。途中で提出すると期間が延びる。Googleの再審査で悪意あるコンテンツが再び見つかると待ち時間がリセットされ、数日待ってから提出するよりはるかに遅くなる。

注入されたスパムページがすでにインデックスされている場合、対処法にはコツがあります。404 より 410（完全削除）を返すほうが収束しやすく、Google は 410 の削除処理が明らかに速いです。同時に Search Console の削除ツールで、最も重要なスパム結果を緊急非表示に申請します。その後は週に一度の進捗チェックを行い、site コマンドとブランド名検索で残存数を確認します。インデックス数が数百件から一桁まで減るには通常2〜4週間かかるので、その間、進みが遅いからといって審査を何度も再送信しないでください。

七、被害評価：戻るもの、戻らないもの

タイムラインを上司に示す前に、各段階の典型的な期間と合格基準を明確にしておきましょう。「なぜまだ復旧しないのか」と何度も聞かれずに済みます。

被害の可逆性は2つのケースに分かれます。スパムコンテンツを載せられただけで、手動によるペナルティ通知を受けていないサイトは、クリーンアップ後に順位が通常戻ります。明確に「人為的スパム行為」と判定されたサイト（例えば埋め込まれた隠しテキストやリダイレクトがアルゴリズムに検出されペナルティを受けた場合）は、回復期間がより長く、一部のキーワードは元の位置に戻らない可能性があります。さらに、不可逆な被害がもう1つあります。ハッキング期間中に顧客がメールや検索からスパムページをクリックした場合、その失われた信頼はインデックスの回復とともに戻ることはありません。これが第1節で発見のシグナルを強調した理由です。発見が1週間遅れるごとに、汚染範囲と顧客離れが1層ずつ増えます。

FAQ よくある質問

最後に

ハッキング対応で問われるのは技術力の高さではなく、手順の順序とチェックリストの網羅性です。最初の1時間は証拠保全を先に、削除はファイル・データベース・バックドアの3層で完了、復元ポイントは感染時刻より前であること、再審査は削除完了後に申請。各ステップに明確な行動とタイミングがあり、その場の判断に頼る場面はありません。

実践の提案は3つ。”毎月ブランド名で検索”を定期チェックに組み込む。本記事の3層削除の手順を社内ドキュメントとして保存する。復元演習の所要時間を記録に残す。事故の夜に手元に何があるかは、普段何を残したかで決まります。技術人材がいない、またはサイトの現状に合わせてこの監視とバックアップの流れを整えたい場合は、お問い合わせ。覚えておくべき判断はひとつだけ。怖いのは攻撃を受けることではなく、備えのないまま攻撃を受けることだ。