対応事例

侵害に気づいていない状態からの、復旧と近代化

業種・規模

EC・会員サービス／WordPress 20 サイト＋会員基盤

ご相談内容

仕様書が存在せず、エラーが頻発する

実働工数

6 時間

調査してわかったこと

エラーの修正をご依頼いただいた案件でしたが、調査に入ってすぐ、すでに侵害が発生していることがわかりました。オーナー様はまったく認識されていませんでした。

• 暗号通貨のマイニングプログラムが 37 日間にわたり CPU の 94%（378%／4 コア中 3.78 コア）を占有していた
• 正規プラグインのディレクトリ内に、ランダムな名前のバックドアが分散して設置されていた
• ディスクに痕跡を残さない「ファイルレス型」のバックドアが稼働し、外部と通信していた
• 管理画面のプラグイン一覧から自分を隠す機能を持つ偽プラグインが、104 個作られていた
• 訪問者に偽の「人間確認」画面を表示し、Windows ユーザーにマルウェアを実行させる仕掛けが仕込まれていた
• 管理者権限を持つアカウントが、攻撃者によって新規作成されていた

実施した対応

• マルウェア 約 1,167 ファイルを駆除（マイナー本体、ウェブシェル、偽プラグイン 104 件、改ざんされたコアファイル 955 件ほか）
• WordPress 20 サイトを 5.9〜6.9.4 の混在状態から、2026 年 3 月の対応時点で 6.9.4 へ統一
• 全サイトの認証キーを再生成し、侵害された可能性のあるログインセッションをすべて無効化
• インターネットから直接接続できる状態だったデータベースユーザー 7 件を削除
• 全ポート開放だったファイアウォールを、必要な 3 ポートのみに再構成
• XML-RPC の停止、管理画面からのファイル編集禁止、設定ファイルの権限見直しを恒久対策として実施

本稼働中のプラットフォームを止めずに、侵害へ対応

業種・規模

業務システム提供／サーバー 3 台・Docker 46 コンテナ

稼働サービス

会員管理・チャット・API・決済（いずれも本稼働中）

ご相談内容

サーバーの動作が不安定で、エラーが出る

実働工数

12 時間

調査してわかったこと

動作の不安定さについてのご相談でしたが、点検した結果、対象サーバー 3 台すべてが侵害されていました。

• API を処理するコンテナ内に、難読化されたバックドアが 5 個
• ステージング環境に、ファイル操作型のウェブシェルが 1 個
• 公開サーバーに、SEO スパムが 7 ディレクトリ寄生（第三者の集客に自社サイトが使われている状態）
• Google Search Console が乗っ取られた痕跡
• 過去にもマイニング被害を受けていた形跡

サーバーが重い、という表面的な症状の下で、検索評価が削られ、他人の商売に使われていました。この種の被害は、売上が落ちてから気づくことがほとんどです。

実施した対応

• 侵入経路を特定し、封鎖（ファイル管理ツールの脆弱な公開設定が起点でした）
• 全バックドア・スパムを、証拠を保全したうえで駆除
• SSH 鍵を全面刷新し、接続元 IP を制限。設定自体も強化
• 不正ログイン試行を自動遮断する仕組み（fail2ban）を導入
• データベース管理ツールの通信を暗号化、ファイル権限と不要ユーザーの権限を是正
• 本稼働中のサービスは停止させずに実施