ホームページが改ざん・乗っ取りされたら｜確かめ方と最初の対応

見つけたときの最初の対応

すぐに怪しいページを消したくなりますが、先に消すと、どこから入られたかが分からなくなり、同じ穴から入り直されることがあります。WordPressの公式の資料も、最初にすべきことは「落ち着くこと」と「記録すること」だとしています。

1. 慌てて消さない：怪しいページやファイルを自分で消す前に、今の状態を残します。WordPressの公式の資料では、掃除を始める前に、感染した状態のままでもサイトの写し（バックアップ）を取っておくよう勧めています。
2. 記録する：何を見て疑ったか、気づいた日時、最近した作業（プラグインを足した、など）を書き出し、画面を保存します。
3. パスワードを変える：WordPressなどの管理画面だけでなく、サーバーの管理画面、ファイルを送るためのFTPのID、データベースのパスワードもすべて変えます。社内でサイトの更新に使っているパソコンがウイルスに感染していると、変えたパスワードもまた盗まれるので、ウイルス対策ソフトで調べます。掃除が終わったら、パスワードはもう一度変えます。
4. サーバー会社と制作会社に連絡する：保守を頼んでいる制作会社と、サーバーの契約先に、記録を添えて連絡します。共用のサーバーでは、サーバー会社の側でも対応が要ることがあります。
5. 公的な窓口に相談する：どう進めればよいか分からないときは、公的な窓口に相談できます（次の表）。

なお、Googleの警告は、直しただけでは消えません。Search Consoleの「セキュリティの問題」で、すべてのページの問題を直してから「審査をリクエスト」を送ります。何が問題だったか、どう直したか、その結果を書いて送り、審査には数日から数週間かかります。直っていないまま送ると時間が延びることがあるので、直ったことを確かめてから送り、結果のメールが届くまでは送り直さずに待ちます。

どこから入られるのか：復旧したあとの再発防止

掃除をしても、入られた穴をふさがなければ、また同じことが起きます。中小企業のホームページでよく狙われるのは、次の3つです。

古いWordPress・プラグイン・PHP

Googleの案内では、古いCMS（WordPressなどの更新の仕組み）や、弱点のあるプラグイン（追加の部品）が、侵入の入り口として挙げられています。WordPressの公式の資料も、古い版ほどハッキングされやすいとし、掃除が終わったら最新の版に更新するよう勧めています。

サーバーで動いているPHP（WordPressを動かしているプログラムの言語）にも、修正が出る期間があります。PHPの公式サイトでは、2026年11月時点で安全のための修正が出ているのは8.2〜8.5で、8.1はすでに対象外です。8.2も2026年12月31日で修正が終わる予定です。PHPの版の切り替えはサーバーの管理画面でできることが多いですが、古いプラグインが動かなくなることもあるので、制作会社と一緒に進めます。

管理画面のIDとパスワード

IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」には、「不要なアカウントが登録されていませんか？」「推測されやすい単純なパスワードを使用していませんか？」という項目があります。辞めた人や、前の制作会社のIDが残っていないか、1つのIDを何人かで使い回していないかを見直します。Googleの案内でも、パスワードの変更と2段階認証（パスワードのほかにスマホの確認なども求める仕組み）の利用を検討するよう勧めています。IDを人ごとに分ける方法と、WordPressの権限の分け方はホームページを自分で更新できるようにするにはで説明しています。

誰も見ていない状態

20ヶ条には、サーバーのソフトの更新や、記録（ログ）を残して定期的に確かめることも挙がっています。更新とバックアップを誰がしているか分からないなら、保守の範囲を確かめます（ホームページの保守費用は何に払っているのか）。警告・SSL・ドメイン・契約もあわせて見直すなら、自社ホームページの総点検ガイドの順に確かめると漏れが減ります。

AKIMAのHP年齢診断では、外から見える範囲で、こうした入り口になりやすい古さを判定します。ページに書かれたWordPressの版が6より前なら、乗っ取りに使われる弱点が知られている版として指摘します。サーバーがPHPの版を外に出している場合は、サポートが終わった版かどうかを判定し、版が分からなくてもWordPressなどPHPで動くサイトなら、サーバー会社に確かめるよう伝えます。ほかに、jQuery（よく使われる部品）が3.5より前の古い版か、httpsのページの中で暗号化されていないプログラムを読み込んでいないか、安全のための基本設定（セキュリティヘッダー）がされているかも見ます。ただし、HP年齢診断は、すでに改ざんされているかどうかは判定していません。改ざんの確認は、ここまでの「site:」検索とSearch Consoleで行ってください。

ケース別の判断

制作会社に保守を頼んでいて、連絡がつく場合

記録を添えてすぐ連絡し、掃除と原因の調べ、パスワードの変更、Googleへの審査のリクエストまでを、誰がいつするか決めてもらいます。保守の範囲に入っていない作業は費用がかかることがあるので、先に見積もりを出してもらいます。

保守契約がなく、サーバーは自社名義の場合

サーバー会社に連絡し、改ざんの調べや、きれいだったころのバックアップがあるかを聞きます。社内に詳しい人がいなければ、IPAの相談窓口で応急の処置と、頼める専門業者の紹介を受けるのが近道です。

制作会社と連絡がつかず、管理画面にも入れない場合

改ざんの前に、サイトとドメインを自社で押さえられるかの問題になります。サーバーとドメインの名義を確かめる手順は制作会社と連絡が取れない・倒産したときにやることにまとめています。

古い仕組みのまま、直してもまた入られそうな場合

WordPressもPHPも何年も更新されておらず、プラグインも更新が止まっているなら、掃除して使い続けるより、作り直したほうが早く安全なことがあります。作り直すかどうかの判断軸は中小企業のホームページリニューアル完全ガイドで説明しています。参考までに、AKIMAの「HPもう、つくってます」は、サーバー・SSL・保守を月額に含めた方式です。料金は初期費用0円・月額19,800円（税別）で、契約は12か月ごとの自動更新、期間中に解約する場合は残りの月数分を一括で支払います。初月は無料で、その期間中は0円で解約できます（お申し込みにはクレジットカードの登録が必要です）。詳しくは料金のページをご覧ください。

よくある質問

改ざんに気づいたら、サイトをすぐ止めたほうがいいですか？

お客様を別のサイトへ飛ばしている、悪いプログラムを配っている、という場合は、被害を広げないために、制作会社やサーバー会社と相談して一時的に止めることも考えます。一方で、止める前に今の状態を記録しておかないと、原因が追えなくなります。自分で消したり止めたりする前に、まず管理している会社に連絡してください。

見覚えのないページを消せば、元どおりになりますか？

見えているページを消しても、入り口や、乗っ取った人が後から入るための仕掛けが残っていれば、また作られます。Googleの案内でも、怪しいページのほか、サーバーの設定ファイルやサイトマップ（ページの一覧）、プラグインのファイルまで見直す手順になっています。掃除は、入られた原因をふさぐところまでを1つの作業と考えてください。

自社の名前で、知らないメールが取引先に届いています。これも乗っ取りですか？

サイトの乗っ取りとは限りません。会社のメールアドレスを名乗るだけなら、サイトにもメールにも入り込まずにできてしまいます。これを防ぐのが、SPF・DMARCといった「なりすまし対策」の設定です。確かめ方と設定の手順はDMARCの設定方法で説明しています。