WordPress改ざん検知・ファイル改ざん監視ツールおすすめ比較｜無料プラグインからクラウド監視の選び方と初動対応

世界中で最も広く利用されているCMSであるWordPressは、その圧倒的なシェアゆえに、サイバー攻撃者や自動巡回ボットによる標的となり続けています。ある日突然、自社のWebサイトが不審な海外サイトへ転送されたり、Googleの検索結果に「このサイトはコンピュータに損害を与える可能性があります」と警告が表示されたりするトラブルは、決して他人事ではありません。

Webサイトの改ざん被害で最も恐ろしいのは、「攻撃を受けて改ざんされているにもかかわらず、サイト運営者自身が長期間その事実に気付けない」という点です。近年のサイバー攻撃は非常に巧妙化しており、管理者がログインしているブラウザでは正常に見せかけ、一般訪問者にのみ不正な広告やフィッシングサイトを表示させる手口が主流となっています。

サイトの改ざんを早期に察知し、被害を最小限に抑えるためには、目視による確認に頼るのではなく、改ざん検知プラグインや外部監視ツールを活用した継続的な監視体制が不可欠です。

本記事では、企業のWeb担当者やサイト運営責任者に向けて、WordPress改ざん検知が必要な理由、目視をすり抜ける巧妙な手口、おすすめツールの徹底比較、そして万が一改ざんを検知した際の緊急初動対応手順を網羅して分かりやすく解説します。

—

## WordPress改ざん検知が不可欠な理由と放置による3大リスク

WordPressを標的とするサイバー攻撃の多くは、特定の企業を狙う標的型攻撃ではなく、インターネット上のWordPressサイトを無差別に巡回し、脆弱性を抱えたサイトを自動で攻撃・改ざんするプログラム（ボット）によって実行されています。そのため、「自社は小さな企業だから狙われない」という油断は通用しません。

改ざん被害の発見が遅れ、放置してしまった場合に直面する「3大リスク」を正しく把握しておきましょう。

### 検索エンジンからの警告と急激なSEO順位下落（ブラックリスト登録）

改ざんを放置した結果として最も早く現れる実害が、Googleなどの検索エンジンによる「セキュリティペナルティ（ブラックリスト登録）」です。

Googleのクローラーが悪意あるスクリプトや不正リダイレクトを検出すると、検索結果画面においてサイトタイトルの下に「このサイトはハッキングされている可能性があります」といった警告メッセージを表示します。さらに、ユーザーがページを開こうとするとブラウザ全体に赤い警告画面が表示され、アクセスが強力に遮断されます。

これにより、自然検索流入は瞬く間に90%以上激減します。不正コードを駆除して再審査リクエストを送り、承認されるまでに数日から数週間を要するため、ビジネス上の機会損失は計り知れません。

### 訪問者被害とサイト踏み台化（不正リダイレクト・フィッシング詐欺）

改ざん被害の深刻な問題は、「自社のWebサイトが、訪問者へ危害を加える加害者（踏み台）になってしまう」点です。

攻撃者は、自社サイトが持つ信頼性や検索流入トラフィックを悪用し、以下のような不正行為を仕掛けます。
* 不正リダイレクト：訪問者を偽のセキュリティ警告サイトや海外の詐欺サイトへ強制転送する。
* フィッシング詐欺の偽装ページ生成：大手金融機関やECサイトの偽ログイン画面を自社サーバー内に作成し、認証情報やクレジットカード情報を窃取する。
* マルウェアの強制配布：閲覧者の端末に不正プログラムを自動ダウンロードさせる。

自社サイトを訪れた顧客や取引先が実害を受けた場合、企業の信頼は失墜し、法的責任や損害賠償を問われるリスクに直面します。

### 企業信用の失墜と個人情報漏えい事故への発展

改ざんを受けたWebサーバーには、攻撃者が遠隔操作を行うための「バックドア（裏口プログラム）」が設置されているケースがほとんどです。

サーバー内部への不正侵入を許すと、データベースに保存された管理者アカウント、会員情報、お問い合わせフォームから送信された顧客の個人情報（氏名・電話番号・メールアドレス等）が外部に持ち出される危険性があります。個人情報保護委員会への報告や影響を受ける顧客への個別対応、第三者機関によるフォレンジック調査など、多額の費用と対応工数が発生します。

なお、すでに管理者画面にログインできないなど深刻な乗っ取りが疑われる場合は、「WordPress乗っ取り復旧マニュアル」を参照し、直ちに緊急対処を行ってください。

—

## 通常の目視では気付けない巧妙な改ざん手口の正体

「毎日自分のサイトを確認しているから大丈夫」と考えている運営者ほど、巧妙な改ざんの罠に陥りやすくなります。攻撃者は、サイト管理者の目視チェックを意図的にすり抜ける技術を駆使しています。

### 管理者や特定IPを避けて発動する「クローキング」の罠

現在多発しているのが、アクセス者の環境によって表示を切り替える「クローキング（Cloaking）」を用いた改ざんです。

攻撃者は、WordPressのコアファイルや `.htaccess` に以下のような判別コードを仕込みます。
* ユーザーエージェント判別：PCからのアクセスには正規の企業サイトを表示し、スマートフォンからのアクセス時のみ詐欺サイトへ転送する。
* リファラー（参照元）判別：直接URLを入力したアクセスや社内ネットワークからの閲覧では正常に動作し、GoogleやYahoo!の検索結果経由で訪問した一般ユーザーにのみ不正スクリプトを実行する。
* Cookie・ログイン判別：WordPressにログイン中の管理者端末に対しては一切の不正動作を行わない。

この結果、Web担当者が社内PCでサイトを開いても異常を発見できず、外部の顧客からクレームが入るまで被害に気付けない事態に陥ります。

### ファイル更新日時を偽装するタイムスタンプ改ざん

FTPソフトで「更新日時順」にファイルを並び替え、最近変更された不審なファイルを探す手法も、現代の攻撃には通用しません。

攻撃者はスクリプトを改ざん・設置した直後、Linuxの `touch` コマンド等を用いてファイルのタイムスタンプ（更新日時）を過去の正常な日時に上書き偽装します。周囲の正規ファイルと同じ日時に偽装されるため、ファイル一覧を目視で眺めても不審な変更を見分けることは不可能です。

### .htaccessやコアファイル、DB深部に潜むバックドア

攻撃者は一時的な改ざんだけでなく、何度でも再侵入できるようにサーバー各所にバックドアを隠蔽します。
* .htaccessの改ざん：ファイルの先頭や、数百行の空白行を挟んだ末尾の見えない位置に、不正な転送ルールを追記する。
* コアファイルへの埋め込み：`index.php` や `wp-config.php`、`wp-includes` 配下の正規ファイル内に、`eval(base64_decode(…))` などの難読化コードを混入させる。
* データベース深部へのインジェクション：記事本文やサイト設定（`wp_options`）内に直接不正なスクリプトを書き込む。

このように、目視や直感だけで改ざんを発見することは極めて困難であり、機械的な検知ツールの導入が不可欠です。

—

## 改ざん検知の仕組みと検知アプローチの違い（内部スキャン vs 外部監視）

改ざん検知ツールはどのような仕組みで異常を発見しているのでしょうか。検知の基本アルゴリズムと、2大アプローチ（内部スキャン型と外部監視型）の違いを理解しておきましょう。

### WordPress公式リポジトリとのハッシュ値（チェックサム）照合

最も確実性の高い検知ロジックが、「WordPress公式リポジトリのチェックサム（ハッシュ値）との照合」です。

WordPress本体のコアファイルや公式ディレクトリに登録されているプラグイン・テーマは、正規ファイルのハッシュ値（MD5/SHA256）が公開されています。検知ツールはサーバー上のファイルから算出したハッシュ値と公式データを突合し、1文字でも改ざんがあれば即座に不一致として検出します。未知のゼロデイ攻撃であっても、「正規の状態から変更されたこと」を確実に識別できます。

### マルウェアシグネチャによるパターンマッチング

独自開発のカスタムテーマや有償テーマのように、公式のハッシュ値が存在しないファイルに対しては、「シグネチャ（定義パターン）マッチング」が用いられます。

既知のマルウェアコード、バックドア特有の関数呼び出し、悪意ある難読化構文を登録したデータベースとサーバー内の全ファイルを照合し、危険なコードを検出します。

### 内部スキャン型（プラグイン）と外部リモート監視型の比較

改ざん検知の手法には、サーバー内部から検査する「内部スキャン型」と、外部からHTTP通信経由で検査する「外部監視型」があります。

| 比較項目 | 内部スキャン型（プラグイン方式） | 外部リモート監視型（クラウド・診断ツール） |
| :— | :— | :— |
| スキャン対象 | サーバー内部の全ファイル・DB・.htaccess | 外部から閲覧可能なHTML・JS・HTTPヘッダー |
| ファイル改ざん検知 | 対応（◎）
チェックサム照合で精密検査 | 部分対応（△）
表層ソースの変化・転送先を検知 |
| バックドアの検出 | 対応（◎）
非公開ディレクトリ内も走査 | 非対応（×）
外部非公開のPHPファイルは不可 |
| ブラックリスト監視 | 一部のみ（△） | 対応（◎）
主要ブラックリストを常時巡回 |
| サーバー負荷 | 高い（▲）
CPU・メモリを大量消費 | 皆無（◎）
サーバーへの負荷は実質ゼロ |
| サイト停止リスク | あり（▲）
タイムアウトや503エラーの懸念 | なし（◎）
プラグイン競合やダウンの心配なし |

内部スキャン型はサーバー内部を徹底調査できる反面、サーバーへの負荷が大きく、環境によってはサイト停止の原因になります。一方、外部監視型はサーバー負荷ゼロで運用でき、訪問者目線のクローキングやブラックリスト登録をリアルタイムに捉えられる強みがあります。双方の特性を理解し、バランス良く組み合わせることが肝要です。

—

## 【徹底比較】WordPress改ざん検知ツール・プラグインおすすめ4選

WordPressサイトの改ざん対策には、サーバー内部のファイルを走査するプラグインから、負荷をかけずに外部からチェックする診断ツールまで、複数の選択肢が存在します。自社の運用体制やサーバー環境に合ったツールを選定することが重要です。

### 改ざん検知プラグイン・外部ツール機能比較一覧表

主要な4つのツール・プラグインの特徴を網羅した比較一覧表は以下の通りです。

| ツール / プラグイン名 | 検知方式 | ファイル改ざん検知 | WAF・防御機能 | サーバー負荷 | 日本語対応 | 価格 | おすすめユーザー層 |
| :— | :— | :— | :— | :— | :— | :— | :— |
| Wordfence Security | 内部ファイル比較＋シグネチャ照合 | 対応（◎）
公式リポジトリと完全照合 | あり（◎）
高機能エンドポイントWAF | 高い（▲）
フルスキャン時にCPU消費大 | 非対応（×）
英語UIのみ | 無料版あり
（有料版あり） | 高性能サーバーを運用し、英語設定に対応できる中・上級者 |
| Sucuri Security | 外部リモート監視＋内部整合性チェック | 対応（◯）
リモート走査＋コア比較 | あり（◯）
（有償クラウドWAF連携） | 低い（◎）
クラウド基盤主体の軽量設計 | 非対応（×）
英語UIのみ | 無料版あり
（有料版あり） | サーバー負荷を抑えつつ、ブラックリスト監視を行いたい方 |
| SiteGuard WP Plugin | ログイン保護＋管理画面防御 | 非対応（×）
ファイル監視機能なし | あり（◯）
管理画面WAFフィルター | 極めて低い（◎）
軽量動作 | 完全対応（◎）
国産・日本語完全対応 | 完全無料 | ログイン画面の保護を日本語で手軽に強化したい全ユーザー |
| MozCheck（クラウド型外部診断） | 外部クローリング＋脆弱性・設定スキャン | 対応（◯）
外部兆候・不審リダイレクト検知 | 診断特化
侵入経路の弱点可視化 | 皆無（◎）
サーバー負荷ゼロ | 完全対応（◎）
日本語レポート | 無料診断あり | プラグインを増やさず、手軽に安全性を確認したいWeb担当者 |

### Wordfence Security：最高峰のスキャン精度と多機能防御（英語UI・負荷対策が鍵）

Wordfence Securityは、世界で500万以上のアクティブインストール数を誇る定番セキュリティプラグインです。

* メリット：公式リポジトリとのハッシュ値比較により、コアファイルや公式プラグインの1文字の改変も正確に検出します。改ざん箇所を色分け表示する差分（Diff）確認機能や、公式ファイルへの自動復元機能を備えています。
* 注意点：スキャン実行時にCPUやメモリを大量に消費するため、共有サーバーでは503エラーやタイムアウトが発生するリスクがあります。また、設定画面や通知メールが英語のみである点も事前の考慮が必要です。

### Sucuri Security：リモート整合性チェックとブラックリスト監視に強み

Sucuri Securityは、著名なWebセキュリティ企業が開発した軽量スキャン対応プラグインです。

* メリット：クラウド上のスキャンエンジンを活用するため、サーバーに重い負荷をかけずに整合性チェックを行えます。Google Safe Browsingなどのブラックリスト登録監視や、ファイル変更・ログイン履歴の監査ログ機能が充実しています。
* 注意点：サーバー内部の奥深くに埋め込まれたバックドアの完全駆除や高度なWAF防御を利用するには、有償プランの契約が必要となります。

### SiteGuard WP Plugin：ログイン保護特化であり改ざん検知機能がない点に注意

多くの国内レンタルサーバーで標準導入されているSiteGuard WP Pluginですが、運用にあたって非常に重要な注意点があります。

SiteGuardは管理画面のログインURL変更や画像認証（ひらがなCAPTCHA）など「不正アクセスの侵入防御」に特化しており、「サーバー上のファイルを監視・スキャンして改ざんを検知する機能」は一切搭載されていません。
「SiteGuardが入っているから改ざん対策も安心」と誤解せず、改ざん検知についてはWordfenceや外部診断ツールを別途併用する必要があります。

### クラウド型外部監視サービス・診断ツール（MozCheck等）の併用価値

プラグインを多数導入するとサイトの表示速度低下やサーバー障害の原因になります。そこで有効なのが、クラウド型の外部監視・診断ツールの併用です。

* サーバー負荷ゼロ：外部からHTTPリクエストを送信して検査するため、サーバーリソースを消費しません。
* 訪問者目線のクローキングを検知：外部から実際の一般ユーザーと同じ経路でアクセスするため、管理者向けに隠蔽された不正リダイレクトや詐欺広告を確実に捕捉できます。
* 設定不要で即時診断：プラグインの導入作業を行うことなく、URLを入力するだけで潜在的な脆弱性や改ざんリスクを可視化できます。

—

## プラグイン型改ざん検知を運用する際の3大注意点と落とし穴

内部スキャン型プラグインを運用する際は、以下の3つの落とし穴に注意し、適切な設定を行いましょう。

### スキャン実行時のサーバー高負荷・タイムアウト・503エラー対策

全ファイルのスキャンはCPUとメモリに過大な負荷を与えます。特に共有レンタルサーバーではリソース制限に抵触し、サイトがダウンすることがあります。

【対策】
* プラグインの「Low Resource Scanning（低負荷スキャン）」オプションを有効にする。
* 画像やPDFなどのメディアファイル（`wp-content/uploads/`）をフルスキャン対象から除外し、PHPやJSなどの実行可能ファイルに絞って走査する。
* 自動スキャンのスケジュールをアクセスが少ない深夜（午前3〜4時など）に設定する。

### キャッシュ系プラグインや最適化ファイルによる「誤検知（False Positive）」の対処法

キャッシュプラグインやCSS/JSの結合・圧縮ツール（WP Super Cache、Autoptimize等）は動的に一時ファイルを生成するため、改ざん検知ツールが「未知の不審ファイル」として誤検知するケースが多発します。

頻繁な誤検知は管理者の「警告疲労」を招き、本物の改ざんアラートを見落とす原因になります。検知されたパスが `/wp-content/cache/` などのキャッシュディレクトリである場合は、速やかにホワイトリスト登録（Ignore）を行いましょう。

### 複数のセキュリティプラグイン併用による競合・サイトダウンの防止

「安全性を高めたい」と複数のセキュリティプラグインを同時稼働させると、`.htaccess` の書き込み競合による500エラーや、WAFの重複によるログインロックアウト、メモリ枯渇を引き起こします。

セキュリティツールは「1つの役割に対して1つのツール」に絞るのが原則です。「ログイン保護はSiteGuard、ファイル改ざん検知はWordfence、外部兆候監視はMozCheck」のように、明確に役割を分担させて運用してください。

—

## 改ざんを検知した際の緊急初動対応4ステップ

万が一、改ざんのアラートを受信した際、最も避けるべきは「警告されたファイルだけを削除して放置すること」です。バックドアや侵入経路が残っていれば数日以内に再感染します。順序通りの初動対応を実施してください。

### Step 1: 被害拡大の即時防止（メンテナンスモード切替・バックアップ確保）

まずはサイトを一時的に非公開（503メンテナンスモード）にし、一般訪問者への詐欺被害拡大を食い止めます。
同時に、「感染状態の全ファイルとデータベース」の現状バックアップを取得します。これは事後の原因究明（フォレンジック）や、復旧時のデータ破損に備えた保険として必須の作業です。

### Step 2: 全認証情報（WordPress管理者・FTP・DB・サーバーパネル）の一斉変更

攻撃者に認証情報が握られている可能性があるため、関係するパスワードを一斉に変更します。
* WordPress管理者のパスワード（推測困難なランダム文字列へ）
* サーバー管理パネルおよびFTP/SSHアカウントのパスワード
* データベース接続パスワード（`wp-config.php` も更新）
※「ユーザー一覧」を確認し、見覚えのない不審な管理者アカウントが勝手に追加されていないかも必ず点検・削除してください。

### Step 3: 侵入経路の特定と脆弱性の洗い出し（MozCheck無料診断の実施）

侵入経路の約9割は「放置されたプラグインやテーマの脆弱性」です。再侵入を防ぐために、何が攻撃の突破口になったのかを特定しなければなりません。

手軽にサイト全体の脆弱性や設定不備を洗い出す手段として、「MozCheck無料診断」を活用してください。外部から安全にスキャンを行い、古いプラグインの脆弱性や危険な設定箇所を迅速に特定できます。

### Step 4: クリーンなコアファイルへの置換とバックドア完全駆除

侵入経路を塞いだら、サーバー上の不正コードを一掃します。
* コアファイルの置換：WordPress.orgから公式アーカイブを入手し、`wp-admin` と `wp-includes` ディレクトリを公式の正規ファイルで丸ごと上書き置換する。
* ルート直下の清掃：`index.php` などを公式ファイルで上書きし、`wp-config.php` と `.htaccess` に不正なコードが追記されていないか目視で点検・除去する。
* プラグインの再配置：プラグインフォルダを一旦削除し、公式ディレクトリから再ダウンロードしたクリーンなファイルに差し替える。
* uploadsフォルダの点検：本来画像しか存在しない `wp-content/uploads/` 配下に `.php` ファイルが紛れ込んでいないか確認し、発見した場合は即座に削除する。

自力での復旧手順をステップごとに詳しく確認したい場合は、「WordPress乗っ取り復旧マニュアル」も手元にご用意ください。

—

## 自力復旧が困難な場合のプロ相談と根本的な脆弱性対策

攻撃が広範囲に及んでいる場合、無理な自力対応は事態を悪化させるリスクがあります。

### 専門業者に相談すべき危険なシグナルと選定基準

以下の症状が見られる場合は、迷わず専門の復旧業者へ相談してください。
* ファイルを駆除しても翌日には再感染・再改ざんされる。
* データベース（`wp_posts` 等）の数千件の記事データ内に不正スクリプトが混入している。
* サーバー会社から不正利用（スパム配信・攻撃踏み台）としてアカウントを強制停止された。

業者選定の際は、「即日・緊急対応の可否」「再発時の無償対応保証（駆除保証）」「明朗な事前見積もり」の3点を確認しましょう。業者ごとの相場や選び方のポイントは、「WordPressマルウェア復旧業者の費用相場と選び方」で詳しく紹介しています。

### 改ざん再発を防ぐための定期的な脆弱性診断とセキュリティ体制構築

マルウェアを駆除しても、セキュリティ管理体制を改善しなければ再び攻撃を受けます。
* 定期的な脆弱性診断：定期的に外部診断を実施し、新たな脆弱性を早期発見する。
* 自動・計画的アップデート：WordPress本体やプラグインを放置せず、常に最新状態に保つ。
* 2要素認証（2FA）の導入：管理者ログインにワンタイムパスワードを義務化する。

法人サイトに必要な診断メニューや相場感については、「WordPress脆弱性診断の費用相場とサービス比較」をご確認ください。

—

## まとめ：改ざん検知の常時監視と定期診断でWordPressを守り抜く

WordPressサイトの改ざんは、もはや特殊な事件ではなく、Webサイトを運営するすべての企業が直面し得る日常的なリスクです。

「クローキング」や「タイムスタンプ偽装」によって目視をすり抜ける攻撃からサイトを守るには、「内部スキャン（Wordfence等）」と「外部監視（MozCheck等）」を組み合わせた多層的な検知体制が極めて効果的です。また、SiteGuardなど国内で一般的なツールの役割（ログイン保護特化）を正しく理解し、改ざん検知の抜け穴を作らない運用を心がけましょう。

### 関連記事一覧（あわせて読みたいセキュリティ対策）

* WordPress乗っ取り復旧マニュアル｜緊急初動からバックドア完全駆除までの全手順
* WordPressマルウェア復旧業者の費用相場と失敗しない選び方
* WordPress脆弱性診断の費用相場とおすすめサービス比較ガイド

自社サイトが攻撃者に狙われる前に、まずは現在の安全性を確認することが防衛の第一歩です。わずか数十秒で脆弱性や改ざんリスクを可視化できる無料診断をぜひご活用ください。