【ロリポップ管理サイトの改ざん】403エラーから復旧する8つの手順

ロリポップで運用中のWordPressが突然「403 Forbidden」になり、ロリポップから「不審な記述を含むファイルを検出したためパーミッションを000に変更した」というメールが届いていませんか？

これは、第三者にサーバー内のファイルを改ざんされ、ロリポップが被害拡大を止めるために該当ファイルを強制的に無効化した状態です。メールには8つの対処項目が並んでいますが、どれをどの順で、どこまでやればよいかは書かれていません。

本記事では、累計3,500案件以上のサイト移転・保守を手がけてきたサイト引越し屋さんが、ロリポップでの改ざん被害を403から復旧し、再発を防ぐまでの手順をWordPress前提で解説します。

ロリポップで突然403になった正体は「パーミッション000」

ロリポップの改ざん対応は、エックスサーバーのようなアカウント単位の利用制限ではなく、ファイル単位の無効化です。そのため「サイト全体が403」「一部ページだけ403」のどちらも起こります。

ロリポップが改ざんファイルを検知した時に行うこと

ロリポップは不審な記述を含むファイルを検出すると、①該当ファイルのパーミッションを000（読み書き実行すべて不可）に変更し、②サーバーのトップディレクトリに「日付_lolipop.txt」という名前で該当ファイルの一覧を置き、③登録メールアドレスに対処8項目を記載した通知を送ります。

index.phpやwp-config.php、テーマのfunctions.phpなどサイト表示に必要なファイルが改ざんされていた場合、それらも000にされるためサイト全体が403になります。ロリポップ側がファイルを削除することはなく、削除・修復は利用者の役目です。

通常の403との見分け方

ロリポップの403は、.htaccessの記述ミスやWAFの誤検知でも起こります。見分けはロリポップFTPでトップディレクトリを開き、「日付_lolipop.txt」があるか、ファイルの属性が000になっているものがあるかを見るだけです。

放置した場合に考えられるリスク

パーミッション000は「そのファイルを動かなくする」だけで、侵入経路は塞がっていません。放置すると被害は広がり続けます。

アカウント内の他サイトへの感染拡大

ロリポップは1アカウントで複数ドメインを運用でき、すべてが同じFTPアカウント配下にあります。攻撃者は1つのサイトから入って同じアカウント内の全ドメインに不正ファイルを置くため、リストに載ったサイトだけ見ていると別サイトから再感染します。

SEO評価の下落とセーフブラウジング警告

403が続くと検索順位が下落し、長期化するとインデックスから除外されます。改ざんページがGoogleに検知されるとChromeで赤い警告画面が出る「危険なサイト」扱いになり、復旧後にSearch Consoleから審査リクエストが必要になります。

弊社のクライアントでも、停止中に検索順位が下落し、復旧後の順位回復に苦労した事例があります。

メールのスパム判定

改ざんで設置されたスクリプトからスパムメールが送信されると、自社ドメインがブラックリストに登録され、ロリポップのメールを使っている場合は通常のメールも届かなくなります。GmailのPostmaster Toolsでドメイン評価を確認してください。

＝＝＝

「今すぐサイトを復旧したい」
そんなときは、サイト引越し屋さんにご相談ください。

>>無料ご相談窓口はこちらをクリック

復旧STEP1 「日付_lolipop.txt」で被害範囲を確認する

ロリポップが置いたリストは調査の出発点として優秀ですが、通知メール自身が「記載のファイルが全てではない」と断っています。

ロリポップFTPでトップディレクトリのリストを開く

ユーザー専用ページからロリポップFTPを開き、最上位にある「日付_lolipop.txt」を開きます。パスをドメインごとに整理すると、どのサイトのどの階層に集中しているかが分かり、侵入元のサイトがおおよそ特定できます。リスト内のファイルをブラウザで開いて確認するのはやめてください。

リスト外を探す視点

ロリポップのWAF設定画面でドメインごとの検知ログを確認し、WAFがOFFのドメインがないかを見ます。あわせてFTPで更新日時順に並べ、リストに載っていない最近の更新ファイルを探します。

典型はwp-content/uploads内の.php、「mt○○○○n.php」のようなランダム名のPHP、改変された.htaccess、見覚えのないプラグインフォルダです。

復旧STEP2 バックアップを取ってから作業する

ロリポップの通知には「削除したファイルは復旧できない」と明記されています。正規ファイルの先頭にコードを追記されたケースでは、ファイルごと消すとサイトが壊れます。

改ざん状態の現状バックアップ

FTPで全ファイル、phpMyAdminでデータベースをダウンロードし、「感染時点」と分かる名前で保管します。パーミッション000のファイルはFTPでダウンロードできないことがあるため、その場合は一旦604に戻してから取得し、取得後に000へ戻します。

手順は「ロリポップでWordPressのバックアップを取る方法」で解説しています。

バックアップオプション・自動バックアップから改ざん前の世代を探す

有料の「バックアップオプション（月額440円・税込）」を契約していれば、ユーザー専用ページから過去7回分のバックアップデータをダウンロードできます。

また、オプション未契約の場合でも、ロリポップが実施している自動バックアップからのデータ提供・復元（手数料11,000円・税込）を申し込める場合があります（公式）。

改ざん前の世代が残っていれば、そこへ戻してからSTEP3を行うのが最短です。ただし、すでにバックアップ世代まで改ざん後のデータで上書きされている場合や、復元費用をかけずに自力で直す場合は、現状のファイルを精査してクリーンアップを進めます。

復旧STEP3 ロリポップが求める8項目を確実にやりきる

通知メールの8項目はどれも1行ですが、実際には⑧「不審ファイルのクリーンアップ」に作業の9割がかかります。順番も大事で、パスワードを変えてからファイルを直さないと、作業中に再び書き換えられます。

推奨手順	ロリポップ通知の項目番号	具体的な作業内容と注意点
手順1	① 作業PCのウイルスチェック	FTPパスワードの再漏洩を防ぐため最初に実施
手順2	② FTP・WebDAVパスワード変更 ④ DB・WP管理者パスワード変更	作業中の再侵入を遮断。DB変更後は wp-config.php も即時更新
手順3	⑧ 不審ファイルのクリーンアップ	WP本体・プラグイン・テーマを公式最新版で丸ごと入れ替え、.htaccess も精査
手順4	⑤ CMS・プラグインの最新版更新 ⑦ ディレクトリ属性を705へ変更	000 のファイルは置換後に 604（wp-config.php は 400）へ戻す
手順5	③ FTPアクセス制限の有効化 ⑥ WAFの有効化	全ドメインのWAFをONにし、自社の接続元IP以外からのFTP接続を遮断

①PCのウイルスチェックと②④パスワード変更

まず作業に使うPCをウイルススキャンします。FTPパスワードがPCから漏れていると、いくらサーバーを直しても無駄になるためです。次にユーザー専用ページの【アカウント情報】でFTP・WebDAVパスワードを変更し、WordPressの全管理者パスワードとデータベースパスワードも変更します。

なお、ロリポップ側でデータベースパスワードを変更した直後は、必ずFTPから wp-config.php を開き、define( ‘DB_PASSWORD’, ‘新しいパスワード’ ); の記述も同じパスワードに書き換えて保存してください（書き換え忘れると「データベース接続確立エラー」になります）。

WordPressのユーザー一覧に見覚えのない管理者がいないかも確認してください。

⑧不審ファイルのクリーンアップ：WordPress本体・プラグイン・テーマを丸ごと入れ替える

リストのファイルを1つずつ直すより、WordPress本体・プラグイン・テーマを公式の最新版で丸ごと入れ替える方が確実で早いです。

残すのはwp-config.php、wp-content/uploads内の画像、オリジナルテーマのファイルだけに絞り、それらは先頭に「<?php global $sessdt_o;」のような身に覚えのないコードがないか1つずつ確認します。

uploads内の.phpはすべて不正ファイルとみなして削除して構いません。使っていないプラグイン・テーマ・放置したテスト用WordPressはこの機会に削除してください。

.htaccessの不正な記述を除去する

各ドメインの.htaccessを開き、外部URLへ飛ばすRewriteRuleやErrorDocument、画像拡張子でPHPを実行させる「AddHandler application/x-httpd-php .png」のような行を削除します。

WordPress標準の「# BEGIN WordPress」〜「# END WordPress」以外の記述は、意図して書いたもの以外すべて疑ってください。

⑤CMS・プラグイン更新と⑦ディレクトリパーミッション705

入れ替えで最新版になっているはずですが、管理画面に入って更新が残っていないか確認します。そのうえでロリポップFTPの「現在の属性」から全ディレクトリを705にし、777や666が残っていないか確認します。

000にされたファイルは、不要なら削除、必要なら正常なファイルに置き換えてから604に戻します。

ただし、データベースの接続情報が書かれた wp-config.php については、ロリポップ公式のセキュリティ推奨値である 400 に設定してください。

③FTPアクセス制限と⑥WAFを有効化する

ユーザー専用ページの【セキュリティ】→【FTPアクセス制限】で接続元を自社のIPに限定し、【WAF設定】で全ドメインをONにします。WAFの誤検知で管理画面の保存が403になる場合は、WAFを切るのではなく該当シグネチャの除外で対応してください。

復旧STEP4 ロリポップサポートへ対応完了を報告する

ロリポップはファイル単位の無効化なので、ファイルを直してパーミッションを戻せばサイトはその場で表示されます。それでも報告は必要です。

ユーザー専用ページの問い合わせから報告する内容

対応を報告しないと、ロリポップ側では「未対応」のままで、再検知時により強い措置（アカウント単位の制限）を取られる恐れがあります。通知メールの件名と受信日、アカウント名、リストの全ファイルへの対応（削除または置換）、8項目それぞれの実施内容を箇条書きで送ります。

解除後に確認すること

サイトが正常に表示されるかに加え、Google Search Consoleの「セキュリティの問題」に警告が出ていないか、出ていれば審査をリクエストします。ノートンなどのセキュリティソフトで警告が出る場合は、各社のサイト評価ページから安全性の再評価を申請します。

復旧後に再発してしまう場合の対応

数日後に再び「日付_lolipop.txt」が置かれた場合、原因のほとんどは「除去しきれなかった感染ファイル」です。

複数サイト同居による再感染

1つのアカウントで複数ドメインを運用している場合、1サイトだけ復旧しても別サイトに残ったウイルスから再感染します。

弊社に2026年10月に寄せられた相談でも、同一サーバー内の2サイトが同時に不正リダイレクトの被害を受け、サーバー会社から指示されたファイルを削除しても.htaccessの改ざんとバックドアが残ったままで、リダイレクトが止まらない状態でした。

全サイトをいったん公開停止し、アカウント全体を一括で調査・駆除するのが確実です。

クリーンなサーバーへの移転という選択肢

感染範囲が特定しきれない場合は、新規契約したサーバーへ必要なファイルだけを厳選して移す方が確実かつ早く終わります。ロリポップの別アカウントでも、エックスサーバーなど他社でも構いません。

移転手順は「ロリポップからエックスサーバーへのWordPress引越し手順」で解説しています。

まとめ

ロリポップで「不審なファイルを検出」の通知とともに403になったら、トップディレクトリのリストで被害範囲を確認、現状バックアップ、パスワード変更→ファイル入れ替え→.htaccess→パーミッション→WAFの順での8項目対応、サポートへの報告、の順で対応します。

ロリポップはリストをくれる分取りかかりやすい反面、「リストが全てではない」と自ら断っている通り、リストだけ消して終わると再発します。

自力での精査が難しい場合や、複数サイトが同時に被害を受けた場合は、復旧代行と再発防止までセットで対応できるサイト引越し屋さんのWordPress保守管理サービスにご相談ください。