WordPressが乗っ取られた？偽のセキュリティ警告画面が出る改ざん被害の駆除・対策方法【実例画像あり】

「自社のWordPressサイトを開いたら、見覚えのない偽のセキュリティ警告画面（reCAPTCHAや認証を装った画面）が表示される」——このようなWordPressの改ざん・乗っ取り被害のご相談が、ここ最近急増しています。

当社でも先日、短期間に3社から同じ手口の被害についてご相談をいただき、駆除・復旧を行いました。

この記事では、Web制作・保守を手がける当社が、実際の対応で確認した管理画面の画像とともに、「感染の見分け方」「自分でできる駆除の手順」「再発を防ぐセキュリティ対策」「費用や期間の目安」までを、まとめて解説します。

放置すると被害が広がり、閲覧者にも影響が及ぶ可能性があります。心当たりのある方は、早めにご確認ください。

背景：偽CAPTCHA（ClickFix）を使った攻撃が急増している

この手口は、世界的に急増している「ClickFix（クリックフィックス）」と呼ばれる攻撃です。

大手セキュリティベンダーのESET（キヤノンマーケティングジャパン）も、2026年2月の記事で「ボットではないことを証明するCAPTCHAを悪用した偽の認証ページでマルウェアを拡散する手口が急増している」と注意を呼びかけています（参考：急増する偽CAPTCHAによるマルウェア攻撃｜サイバーセキュリティ情報局）。

偽のCAPTCHAは一見すると正規のものに見えますが、通常のCAPTCHAでは求められない操作を指示してくるのが特徴です。

具体的には「Windowsキー＋Rを押す → Ctrl＋Vで貼り付け → Enterで実行」といった手順を踏ませ、気づかないうちに情報を盗むマルウェア（インフォスティーラー）などを実行させようとします。指示に従うと、ログイン情報やパスワードなどが抜き取られる恐れがあります。

そして今、この偽CAPTCHAを企業のWebサイトに埋め込む形の改ざん被害が増えています。

当社にも、短期間で3社から「サイトに見覚えのない認証画面が出る」というご相談が寄せられ、いずれも同じ手口のマルウェアによる改ざんでした。

つまり、自社サイトにこの画面が出るということは、サイト自体が改ざん・乗っ取りされている可能性が高いということです。以降で、その見分け方と駆除・対策を解説します。

こんな症状は「乗っ取り・マルウェア感染」のサイン【実例画像】

次のような症状が一つでも当てはまる場合、WordPressサイトが不正アクセスを受け、マルウェアを設置されている可能性があります。

実際に当社が対応したケースの画面（※特定情報はマスキング済み）とあわせて解説します。

① 見覚えのない・偽装したプラグインが入っている

正規のプラグインを装った偽物が仕込まれることがあります。下の例では、有名なアクセス解析プラグインを装った不正なプラグインが2つ重複して設置されていました。同じ名前のプラグインが重複していたり、入れた覚えのないものがあれば要注意です。

実際に当社が対応した3件はいずれも同じ名前のプラグインでした。

具体的には、正規のアクセス解析プラグイン「ExactMetrics（旧 Google Analytics for WordPress）」を装った「ExactMetrics Pro」という表示名で設置され、あわせてユーザーを一覧から隠すステルス型の「wp-security-helper」が仕込まれていました。

プラグイン一覧やサーバーのフォルダに、これらの名前が無いか確認してみてください。

⚠️ 名前だけで判断しないでください。
攻撃者はプラグイン名やフォルダ名を変えることがあります。また「ExactMetrics」には正規の本物も存在するため、名前が一致するだけで不正とは限りません。「入れた覚えがない」「同名が重複している」「管理画面に出ないのにサーバーには在る」といった状況で総合的に判断することが大切です。

② 管理画面には出ないが、サーバー上に不正ファイルがある

巧妙なケースでは、不正なプラグインやユーザーを管理画面から「隠す」ステルス型のプログラムが仕込まれます。

管理画面のプラグイン一覧には出てこないため、下の例のようにFTPでサーバーのフォルダを直接確認すると、はじめて不審なプログラムが見つかります。

③ ユーザー数が合わない＝隠された管理者がいる

もっとも見つけにくいのが、攻撃者が勝手に作った管理者アカウントを隠す手口です。

下の例では、集計欄は「すべて（3）」＝3名いるはずなのに、一覧には1名しか表示されていません。この「集計人数」と「表示人数」の食い違いが、ユーザーが隠されているサインです。

実際に、隠していたステルス型プログラムを除去したところ、下のように身に覚えのない不正なユーザーが姿を現しました。

フリーメール等の見覚えのないアカウントは、攻撃者が作った不正ユーザーの可能性が高いです。

その他のサイン

• サイトに偽のセキュリティ認証・reCAPTCHA風の画面が表示され、閲覧者に不審な操作を促す
• 検索結果やブラウザで「このサイトは危険」と警告が出る
• ページの表示が乱れる／見に覚えのないファイルが増えている

なぜ乗っ取られる？主な原因

特に重要なのは、「入口（パスワードの流出元）」を断たないと、いくらファイルを消しても再び侵入されるという点です。

実際の対応でも、マルウェアを削除しただけでパスワードを変えず、同じIDで再び侵入されてしまうケースを目にします。

【自分でできる】WordPressマルウェアの駆除手順

応急対応としてご自身で行える駆除の手順です。必ず上から順番に進めてください。

⚠️ 最重要：削除より先に「パスワード変更」を。
不正なファイルを消しても、攻撃者がパスワードを握っていれば再侵入されます。まず経路を断つことが先です。

STEP1：サイトを一時停止（メンテナンスモード）

まず、閲覧者に被害が及ばないよう、メンテナンス表示に切り替えてサイトを一時停止します。

STEP2：全管理者のパスワードを変更する（最優先）

「ユーザー」からすべての管理者のパスワードを変更し、攻撃者が使っている認証情報を無効化します。

第三者に知られている前提で、正規のアカウントも含めて全て変更してください。

STEP3：不正なプラグイン・ユーザーを除去する

身に覚えのないプラグインや、不正な管理者・編集者アカウントを削除します。前述のとおり管理画面から隠されている場合があるため、FTPでフォルダを直接確認したり、データベース（phpMyAdmin）でユーザー情報を直接確認することが重要です。

公式のプラグイン・テーマは、いったん削除して公式版で入れ直すと、改変ファイルを確実に上書きできます。

STEP4：セキュリティキー（SALT）を再生成する

wp-config.phpの認証キー（SALT）を再生成して差し替えると、既存のログインセッションをすべて無効化できます。

攻撃者が保持しているセッションを断ち切る効果があります。

STEP5：マルウェアスキャンで取りこぼしを確認する

セキュリティプラグイン（Wordfence など）でフルスキャンを実行し、改変ファイルや残ったマルウェアが無いかを最終確認します。

クリーンを確認できたら、動作確認のうえメンテナンスを解除します。

再発を防ぐWordPressのセキュリティ対策

駆除して終わりではなく、「二度と入られない・入られてもすぐ気づける」状態にすることが大切です。ここでは、おすすめの無料プラグインと具体的な設定まで紹介します。

① 2段階認証を導入する（最優先）

パスワードが漏れても、スマホの認証コードでログインを止められます。今回の被害の主因は認証情報の悪用のため、まずこれが最優先です。

② WAF（ファイアウォール）を有効化する

不正なアクセスをサイトの手前でブロックします。2種類を併用できます。

③ ログインを守る（試行制限・URL変更・アクセス制限）

④ 改ざん検知・ログイン通知で「早期発見」する

⑤ 本体・プラグイン・テーマを最新に保つ

脆弱性は更新で塞がれます。WordPress本体・プラグイン・テーマは自動更新をオンにし、使っていないプラグイン・テーマは削除して攻撃対象を減らしましょう。

⑥ パスワードと端末の対策

パスワードは使い回さず、推測されにくい長いものにします。パスワード管理ツールの利用がおすすめです。

あわせて、管理者のパソコン自体のウイルス対策も行ってください（認証情報が端末から盗まれるケースがあるためです）。

⑦ バックアップを自動取得する

⑧ さらに堅くする2つの設定（上級）

💡 入れすぎ注意。
セキュリティプラグイン（特にWAFやスキャン機能）をいくつも入れると競合・誤作動の原因になります。WAF・スキャンは「Wordfence」に、ログイン防御は「SiteGuard」に、というように役割ごとに1つへ統一するのがコツです。

よくある質問（FAQ）

他人のサイトを見ていて偽のセキュリティ警告が出ました。消し方は？

その場合は、あなたの機器の故障ではなく詐欺的な表示です。画面の指示（ボタンのクリック、番号への電話、ソフトの導入、コマンドの入力など）には絶対に従わず、ブラウザのタブごと閉じてください。閉じられない場合はブラウザを終了します。万一、指示に従って操作してしまった場合は、ご利用の機器でウイルススキャンを実施してください。

自分のサイトに偽警告が出ます。自分で駆除できますか？

本記事の手順で応急対応は可能です。ただし、隠された不正ユーザーの発見や侵入経路の特定・遮断、取りこぼしのない駆除は難易度が高く、対応を誤ると再感染を招きます。不安がある場合や確実に復旧したい場合は、専門家への依頼をおすすめします。

お客様の個人情報は漏れますか？

被害の内容によります。改ざんが「サイトの表示」にとどまっている場合もあれば、フォーム経由の情報などに影響が及ぶ可能性がある場合もあります。サーバーのログ調査などで影響範囲を確認することが重要です。個人情報を扱うサイトでは、状況に応じた告知や対応が必要になる場合があります。

復旧までどれくらいかかりますか？

被害の規模やサーバー環境によりますが、応急対応（サイト停止・駆除）は当日〜数日、原因調査やお知らせ掲載を含めても数日〜が目安です。まずはサイトを一時停止して被害の拡大を止めることが最優先です。

対応の費用はどれくらいですか？

被害状況（感染範囲、隠しユーザーの有無、サーバー環境、再発防止の範囲）によって変わります。まずは状況を確認したうえでお見積りいたしますので、お気軽にご相談ください。

一度直れば、もう再発しませんか？

駆除に加えてパスワードの変更・2段階認証・WAF・改ざん検知などの再発防止策までを行うことで、リスクを大きく下げられます。ただし「絶対」はありません。入られてもすぐ気づき、対処できる状態を保つことが重要です。

自力での駆除・復旧に不安があるときは

WordPressの乗っ取り・改ざんの復旧は、対応を誤ると再感染や被害の拡大を招きます。

当社では、実際に複数社の同じ手口のマルウェア被害について、駆除・原因調査・再発防止までを一貫して対応してきました。「偽のセキュリティ警告画面が出る」「勝手に管理者が増えている」といった症状でお困りの方は、まずはお気軽にご相談ください。

※本記事は一般的な対処法をまとめたものです。サイトの状況により最適な対応は異なります。実際の復旧作業は、必ずバックアップを取得したうえで、自己責任で行ってください。掲載画像は実際の対応事例をもとにしていますが、特定につながる情報はマスキングしています。