アクセス数が突然増えたのに、問い合わせや売上にはつながらない。
見慣れない参照元からの訪問が続き、サイトの表示まで重くなってきた——。
そんなときは、「誰かに攻撃されているのでは」と不安になりますよね。
ただ、アクセスの急増だけで、不正侵入が起きたとは限りません。
検索エンジンの巡回や情報収集ボット、ログインを狙う攻撃など、原因によって必要な対応は変わります。
ConoHa WINGでは、アクセスログの確認や、WAF・IPアクセス制限などの設定ができます。
まず状況を確認し、必要に応じてサーバー側でアクセスを制限しましょう。
今回は、特定のアクセス解析ツールに依存せず、不審なアクセスが増えたときの確認方法から、ConoHa WINGでの対処、対策後のチェックまでを紹介します。
🔍 アクセス急増は不正アクセス？最初に確認したいこと
いつもよりアクセスが多いからといって、すべてを遮断する必要はありません。
最初に、サイトへの影響とアクセスの中身を確認してみましょう。
サイトの表示や管理画面に異常はないか
まず、次の点を確認します。
- トップページや記事ページが普段どおり表示されるか
- 表示が極端に遅くなったり、エラーが続いたりしていないか
- 管理画面へ通常どおりログインできるか
- 身に覚えのない記事・リンク・管理者アカウントが増えていないか
- 別のサイトへ勝手に転送されていないか
表示の遅延だけなら、大量アクセス以外にプログラムやサーバー側の問題も考えられます。
一方で、見覚えのない管理者やページの改ざんがある場合は、侵入が疑われるため、遮断設定だけで済ませないことが大切です。
「巡回」「攻撃の試行」「侵入」は分けて考える
記事ページを自動で読むボットの巡回と、ログインや脆弱性を狙う攻撃は異なります。
また、攻撃が記録されていることと、侵入に成功したことも同じではありません。
例えば、さまざまな記事を1ページずつ閲覧して離脱する動きは、自動巡回の可能性があります。
ただし、1ページで離脱する一般の読者もいるため、それだけでは判定できません。
短時間にログインページへのアクセスが集中する、存在しないファイルを次々に探す、といった動きが重なれば、攻撃の試行を疑う材料になります。
参照元やブラウザー名は偽装されることもあります。
画面に表示されたドメイン名だけで、相手や目的を決めつけないようにしましょう。
📋 ConoHa WINGでアクセスログを確認する
アクセス解析で異変に気づいたら、次はサーバー側の記録を確認します。
ページ上の計測タグが動かないアクセスもあるため、アクセス解析だけでは攻撃の全体像を把握できません。
ログを開く手順
ConoHa WINGのコントロールパネルで、次の順に進みます。
- 上部メニューの「WING」を開く
- 「サイト管理」で調査するドメインを確認する
- 「アクセス解析」を開く
- 「ログ」タブを選ぶ
公式ガイドでは、画面上の表示はアクセスログが直近100行、エラーログが直近300行です。
大量アクセス時は短時間で表示範囲が入れ替わるため、保存したログも確認しましょう。
「ログ保存設定」では保存期間や保存先を確認でき、ログのダウンロードも可能です。
参照：ConoHa WING公式：エラーログ・アクセスログを確認する
見るポイントは「いつ・どこから・どこへ・どのくらい」
ログでは、記録されている項目を使い、次のような偏りがないか見ていきます。
- 時間帯：アクセスが増え始めた時刻と、遅延やエラーが出た時刻が重なるか
- IPアドレス：同じ送信元から短時間に大量のリクエストがないか
- アクセス先：記事の閲覧か、ログインページや不審なファイルの探索か
- 応答コード：403・404・500番台などが集中していないか
- リクエストの種類：閲覧だけでなく、ログイン先へのPOSTなどが繰り返されていないか
403はアクセス拒否、404は対象が見つからないことを示します。
ただし、それぞれ単独で攻撃や侵入を証明するものではありません。
200が返っていても、ログイン画面を正常に表示しただけの場合があり、ログイン成功とは限りません。
また、IPアドレスは複数人で共有されたり、ボットが次々に変更したりすることがあります。
IPだけでなく、アクセス先や頻度も合わせて確認します。
負荷が続く場合は、時刻と症状を記録する
サイトが重い場合は、「何時ごろから」「どのページで」「どのようなエラーが出るか」を控えておきましょう。
サーバーの障害・メンテナンス情報も確認します。
CPUやメモリの使用率など、確認できる項目は契約プランや提供機能によって異なります。
画面で把握できない負荷が疑われるときは、記録した時刻やログを添えてConoHaへ相談すると、状況を伝えやすくなります。
🛡️ WAFを確認し、攻撃リクエストへの防御を整える
ConoHa WINGのWAFは、Webアプリケーションの脆弱性を悪用する攻撃からサイトを保護する機能です。
不審なアクセスが増えたら、利用設定と検知状況を確認しましょう。
WAFの設定とログを確認する手順
- 「WING」→「サイト管理」を開く
- 対象ドメインの「サイトセキュリティ」を開く
- 「WAF」タブを選ぶ
- 「利用設定」を確認し、無効なら「ON」にする
- 「表示切替」で「ログ」を選び、遮断されたリクエストを確認する
参照：ConoHa WING公式：WAFの設定をする
WAFのログに遮断の記録があれば、そのリクエストが防御対象になったことを確認できます。
ただし、記録がないから安全とも、記録が多いから侵入されたとも言い切れません。
WAFを有効にすれば、不要なボット巡回まで全部止まるわけではありません。
通常の記事閲覧に見えるアクセスは、WAFで遮断されない場合があります。
正常な操作が止まったときは、該当するログを調べる
記事の保存やフォーム送信など、正常な操作がWAFに検知される場合もあります。
操作した時刻やアクセス先をログと照合し、誤検知か確認しましょう。
公式の除外機能を使う場合も、対象と影響を確認してから設定します。
除外した内容は遮断されなくなるため、関係のない記録までまとめて除外しないようにします。
🚫 特定のIPから大量アクセスが続く場合は遮断する
同じIPアドレスから明らかに不審なリクエストが続いている場合は、ConoHa WINGの「IPアクセス制限」で、そのIPからのWebサイトへのアクセスを拒否できます。
IPアクセス制限の設定手順
- 「WING」→「サイト管理」を開く
- 対象ドメインの「サイトセキュリティ」を開く
- 「IPアクセス制限」タブを選ぶ
- 「ブラックリスト」を開き、鉛筆アイコンの「編集」を選ぶ
- 制限するIPアドレスを入力して「保存」する
複数登録する場合は、1つずつ改行して入力します。
設定前に現在の内容を控え、誤って登録した場合に戻せるようにしておきましょう。
参照：ConoHa WING公式：IPアクセス制限の設定をする
遮断する前に、通常の利用者への影響を確認する
自分や共同運営者、監視サービスなどのIPを登録すると、必要なアクセスまで止まる可能性があります。
アクセスが多いという理由だけで遮断せず、そのIPが何をしているか確認することが大切です。
また、送信元IPが頻繁に変わるアクセスでは、個別登録だけでは追いつきません。拒否しても別のIPから続く場合や、サイトが重い状態が改善しない場合は、サポートへの相談や外部の防御サービスを検討します。
IP制限は、条件に合うリクエストを拒否する対策です。
通信そのものがサーバー側に一切届かなくなるとは限らず、大規模なアクセス集中への対処は別途必要になることがあります。
🔗 特定の参照元を名乗る大量アクセスは、.htaccessで制限する
送信元のIPは毎回違うのに、参照元が同じドメインになっている。
こうした巡回では、IPアクセス制限に加えて、参照元（Referer）を条件に拒否する方法が候補になります。
これは、そのドメインの運営者やサーバーを特定して遮断する設定ではありません。
リクエストが送ってきた参照元の値を見て、条件に一致すれば拒否します。通常の閲覧に見えるボットはWAFで止まらないこともあるため、役割を分けて考えましょう。
編集前に、元の設定を必ず保存する
特定の参照元を条件にアクセスを拒否するには、サーバーに「この参照元からのアクセスは受け付けない」というルールを追加します。
ConoHa WINGでは、そのルールを「.htaccess（エイチティーアクセス）」という設定ファイルに記述できます。
管理画面から編集できますが、書き方を誤るとサイトが表示されなくなる場合があるため、まず現在の設定を保存しておきましょう。
既存の内容を全文コピーして手元に保存するか、ファイルをダウンロードし、変更前に戻せるようにします。
既存のSSL転送やWordPress、プラグインの設定を削除・置換しないでください。
ファイルマネージャーやFTPなど、WordPressにログインできなくても復元できる方法も確認しておきましょう。
ConoHa WINGで.htaccessを編集する手順
- コントロールパネルで「WING」を選ぶ
- 「サイト管理」で対象ドメインを確認する
- 「サイト設定」→「応用設定」を開く
- 「.htaccess設定」の鉛筆アイコンを選ぶ
- 元の内容を保存したうえで、遮断用の記述を追記する
- 「保存」を選び、すぐに動作を確認する
参照：ConoHa WING公式：.htaccessの設定を編集する
指定した参照元を拒否する設定例
次は、`unwanted.example`と`www.unwanted.example`を参照元とするリクエストを403で拒否する例です。
このドメインは説明用の仮名なので、実際に確認した参照元に置き換えて使います。
# BEGIN Custom Referrer Block
RewriteEngine On
RewriteCond %{HTTP_REFERER} ^https?://(www\.)?unwanted\.example(:[0-9]+)?(/|$) [NC]
RewriteRule ^ – [F,L]
# END Custom Referrer Block
このブロックは、既存の`# BEGIN WordPress`より前など、WordPressの転送処理より先に評価される位置へ追加します。
WordPressやプラグインが自動生成する区間の中には入れず、既存の`RewriteCond`と対応する`RewriteRule`の間にも挿入しないでください。
ほかにも転送ルールがある場合は、順番によって動作が変わるため、保守担当者に確認しましょう。
RewriteCondは参照元の条件、`RewriteRule`の`F`は403による拒否を指定しています。
ドメインに含まれる`.`は、例のように`.`と記述します。単純にドメイン名の文字列が含まれるかだけを見る条件より、ホスト名の範囲を限定できます。
上記はApacheの書式に基づく設定例であり、個別サイトでの動作を保証するものではありません。
CDNやキャッシュなどが手前で応答する構成では、この設定が評価されない場合もあるため、必ず実環境で確認します。
保存後は、通常の閲覧と拒否の両方を確認する
設定を保存したら、「普段どおりサイトを使えるか」と「対象のアクセスを拒否できているか」の2点を確認しましょう。
ルールの書き方や追加する位置によっては、通常の閲覧や操作にも影響する場合があります。
まず、トップページや記事を開き、管理画面での操作やフォーム送信も試します。
設定前にはなかったエラーや不具合が出た場合は、保存しておいた元の設定に戻してください。
通常の動作に問題がなければ、次に遮断の効果を確認します。
アクセスログで、対象の参照元を持つリクエストに403（アクセス拒否）が返っているかを調べましょう。
対象のアクセスが来るのを待たずに確認したい場合は、自分のサイトに対して参照元を指定したテストもできます。
以下は、コマンド操作に慣れている方向けの確認方法です。
curl -s -o /dev/null -w ‘%{http_code}\n’ -e ‘https://www.unwanted.example/’ ‘https://your-site.example/’
your-site.exampleは自分のサイトのURL、`unwanted.example`は設定した対象へ置き換えます。
一致する参照元では403が返り、参照元を付けない通常のアクセスでは本来の応答になるか比較します。
もともとの制限でも403が返る場合があるため、1回の結果だけで判定しないようにします。
参照元による遮断で防げる範囲
この設定では、送信元のIPが変わっても、指定した参照元を名乗るリクエストは拒否できます。一方で、次の限界があります。
- 相手が参照元を省略・変更すれば、この条件では遮断できない
- 本当にそのサイトのリンクをクリックした読者も、同じ参照元を送れば拒否される
- アクセス解析だけに作られた記録など、サーバーへのリクエストがないものには効かない
- サーバー側で拒否しても、通信に伴う負担がすべてなくなるわけではない
設定後に解析の数字が残っていても、過去データや集計の遅れなども考えられます。
実際の拒否状況はログで確認し、大量アクセスや負荷が続く場合はサポートへの相談も進めましょう。
🔑 WordPressへのログインを狙われている場合の対策
WordPressを使っていて、ログイン先へのアクセスが集中している場合は、記事の巡回対策に加えてログイン保護を確認します。
ログイン制限を確認する
「WING」→「サイト管理」→「サイトセキュリティ」→「WordPressセキュリティ」と進みます。
「ログイン制限」の「管理画面ログイン」をONにすると、短時間に複数回のログイン操作があった際に、自動的に制限されるようになります。
海外アクセス制限は、対象機能を確認して使う
同じ画面では、ダッシュボードやXML-RPC・REST APIなどに対する海外アクセス制限も設定できます。
これは、海外からの一般の記事閲覧を一括で止める設定とは異なります。
海外から管理作業をする場合や、APIを利用する外部サービスがある場合は、必要な接続に影響しないか確認しましょう。
なお、この画面の設定は、対象ドメイン内にインストールされているすべてのWordPressに適用されます。
複数のWordPressを運営している場合は、ほかのサイトの操作も確認してください。
参照：ConoHa WING公式：WordPressのセキュリティの設定をする
📊 アクセス解析からの除外と、サーバー側の遮断は別
不審なアクセスが集計に混ざると、実際の読者数や反応を把握しづらくなります。
アクセス解析ツールで条件を指定できる場合は、該当する流入を除いたレポートと比較するとよいでしょう。
ただし、目的は分けて考える必要があります。
アクセス解析での除外は、数字を見やすくするための対応です。
サイトへのアクセスは続きます。
サーバー側の遮断は、条件に合うアクセスを拒否する対応です。
サイトへの影響を抑えたい場合は、こちらの対策を検討します。
確認段階では、元データを残したまま比較できる機能を使うと、後から見直しやすくなります。
参照元だけでの判定は偽装や変更に弱く、除外した数値を完全な「人間だけのアクセス」と考えないことも大切です。
⚠️ 改ざんや不正ログインが疑われる場合は、遮断だけで終わらせない
身に覚えのない管理者がいる、記事が書き換わっている、不審な転送が発生する。
こうした場合は、すでにサイト内部に変更が加えられた可能性があります。
その際は、次の対応を進めます。
- 発見時刻、画面の異常、ログ、変更された内容を保存する
- 訪問者への被害が疑われる場合は、公開範囲の制限などを検討する
- 信頼できる端末から、影響が疑われる管理用のパスワードや認証情報を変更する
- 不明な管理者、ファイル、プラグインなどを調査し、侵入経路を確認する
- 必要に応じて、侵害前と確認できるバックアップから復旧する
- WordPress本体・テーマ・プラグインの更新や、不要なものの削除を進める
バックアップを戻すだけでは、侵入の原因が残って再発するおそれがあります。
現状の記録を残したうえで、復旧と原因の解消をセットで進めましょう。
自分で判断が難しい場合は、ConoHaのサポートやサイト保守の担当者に相談してください。
✅ 対策後は、アクセス数より「困っていた症状」が改善したか確認
設定したら、ログの変化とサイトの動作を確認します。
- 不審なアクセスが減ったか、拒否されるようになったか
- 表示の遅延やエラーが改善したか
- 一般の読者が記事を閲覧できるか
- フォーム送信や購入、管理画面での作業が正常にできるか
- 外部サービスとの連携に問題が出ていないか
遮断後にアクセス解析の数字が下がっても、それだけで読者を失ったとは限りません。
不要なアクセスが減った可能性もあるため、通常の流入や問い合わせなども合わせて判断しましょう。
変更日時と設定内容を控え、問題が出た場合に戻せるようにしておくと安心です。
💬 よくある質問
Q. 1ページだけ見て離脱するアクセスは、不正アクセスですか？
A. それだけでは判断できません。一般の読者にもある動きです。
短時間の大量アクセスや機械的な巡回、不審なURLへのアクセスなども合わせて確認します。
Q. WAFをONにすれば、すべてのボットを止められますか？
A. いいえ。WAFは主に脆弱性を悪用する攻撃への防御を担います。
通常の閲覧に見えるボットは通過する場合があるため、必要に応じてIP制限などと使い分けます。
Q. 不審な参照元を解析から除外すれば、サーバー負荷も減りますか？
A. 減りません。
解析上の除外では実際のアクセスは止まらないため、負荷への対応にはサーバー側などでの制限が必要です。
Q. robots.txtで巡回を禁止すれば十分ですか？
A. robots.txtは、対応するクローラーに巡回の希望を伝える仕組みです。
アクセスを強制的に遮断するものではなく、従わないボットへの防御には使えません。
Q. IPを遮断しても、別のIPからアクセスが続く場合は？
A. 個別のIP登録では対処しきれない可能性があります。
ログと発生時刻を整理してサポートへ相談し、必要に応じてCDNやボット対策・レート制限に対応する外部サービスを検討します。
導入時はDNSや通信経路が変わるため、設定と動作確認が必要です。
まとめ
今回は、ConoHa WINGサーバーを使っていて、不正アクセスが急増した時の対策について、ご紹介しました。
不審なアクセスが急増したら、まずサイトの異常とアクセスログを確認しましょう。
記事への自動巡回なのか、ログインや脆弱性を狙った動きなのかによって、対策は変わります。
ConoHa WINGでは、WAFで攻撃リクエストへの防御を確認し、特定IPからの大量アクセスにはIPアクセス制限、WordPressへのログイン試行にはログイン制限などを使えます。
アクセス解析の数字を整えるだけでは、実際のアクセスは止まりません。
必要なアクセスを巻き込まない範囲で制限し、設定後は表示やフォーム、管理作業が正常か確認しましょう。
すでに改ざんが疑われる場合や、制限してもサイトが重い場合は、一人で設定を追加し続けず、ログを添えて相談することが解決につながります。
BOPコミュニケーションズでは、媒体の最新情報をキャッチアップして広告運用に活用しております。
媒体の機能は日々アップデートされている為、情報のキャッチアップが難しい、アップデートされた機能をどのように活用すればいいのか分からないなどでお悩みの方はお気軽にご相談下さい。
★フォームからすぐにお問い合わせしたい場合はこちら↓
