WordPressの改ざんの対処法｜ホームページが改ざんされたらやる順番
公開日 | マツケンスタジオ 責任者
- 改ざんに気づいたら、まずやることと、やってはいけないこと
- 気づいてから復旧、Search Consoleの再審査までの順番
- フォームで個人情報を扱っていた場合の考え方と、相談窓口
ホームページのご相談は無料です
「会社のホームページに、見覚えのない文章が出ている」「検索結果に、うちと関係のない言葉が並んでいる」「サーバー会社から、不正なファイルが見つかったと連絡が来た」。こうしたときは、ホームページが第三者に書きかえられている（改ざんされている）おそれがあります。WordPressで作られたサイトは数が多いぶん狙われやすく、中小企業のサイトも例外ではありません。
この記事では、ホームページを作り、管理する側の目線で、改ざんに気づいたときにやることを順番に整理します。慌てている方が上から読んで動けるように、最初に「まずやること」をまとめました。内容は、Googleの公式ヘルプ、WordPressの公式ドキュメント、総務省、IPA（情報処理推進機構）、警察庁、個人情報保護委員会の公式ページをもとにしています。出典は記事の最後にまとめています。
まずやること（慌てているときは、ここだけ読んでください）
- 慌てて消さない：おかしなページやファイルを、その場で消したり、作り直したりしない。原因を調べる手がかりが消えてしまいます。
- 記録を残す：おかしな画面のスクリーンショット、アドレス、気づいた日時、最近やった作業をメモする。
- サイトを一時的に止める：訪れた人に被害が広がらないよう、メンテナンス表示にするか、非公開にする（自分でできなければ、次の連絡先に頼む）。
- 制作会社・サーバー会社に連絡する：見たことと記録を伝え、調査と復旧の相談をする。
- パスワードを変える：WordPressの管理画面、サーバーの管理画面、FTP（ファイルを送る仕組み）、データベースのパスワードを、使い回していない新しいものにする。
- フォームで個人情報を集めていたか確かめる：お問い合わせや採用の応募の情報が関わる場合は、個人情報保護委員会への報告や本人への通知が必要になることがあるので、早めに専門家に相談する。
ここから先は、それぞれの理由と、くわしいやり方です。
改ざんのサイン
改ざんは、見た目ですぐ分かるものばかりではありません。むしろ、会社の人が気づかないように、ひっそりと仕込まれることが多くあります。次のようなことがあれば、改ざんを疑ってください。
| サイン | どんな状態か |
|---|---|
| 見覚えのない文章やリンク | ページの中や一番下に、自社と関係のない商品や外国語の文章、リンクが増えている |
| 別のサイトへ移ってしまう | 自社のサイトを開くと、勝手に別のサイト（通販、懸賞、偽の警告画面など）へ飛ばされる。スマートフォンだけ、検索から来たときだけ起きることもある |
| 検索結果に見慣れない言葉 | Googleで自社のサイトを検索すると、身に覚えのないページの題名や、ブランド品・薬などの言葉が並ぶ |
| Search Consoleの警告 | Googleの無料ツール「Search Console」の「セキュリティの問題」に、ハッキングやマルウェア（悪いプログラム）の知らせが出ている |
| ブラウザの警告 | サイトを開くと、「危険なサイト」といった赤い警告画面が表示される |
| サーバー会社からの連絡 | 不正なファイルが見つかった、迷惑メールの送信に使われている、サイトを止めた、といった連絡が来る |
| 管理画面の異変 | 知らない管理者のアカウントが増えている、ログインできなくなった、入れたおぼえのないプラグイン（追加機能）がある |
WordPressの公式ドキュメントでも、改ざんのはっきりしたサインとして、Googleなどに危険なサイトとして登録される、サーバー会社にサイトを止められる、閲覧した人のウイルス対策ソフトが警告を出す、新しいユーザーが勝手に作られる、などが挙げられています。
Search Consoleで分かること
Search Consoleの「セキュリティの問題」レポートは、Googleがサイトのハッキングや、訪れた人に害を与えるおそれのあるふるまいを見つけたときに、その内容を知らせるものです。表示される問題には、「ハッキング：コンテンツ インジェクション」（ページに勝手な文章やリンクが入れられた）、「ハッキング：URL インジェクション」（勝手なページが作られた）、「ハッキング：マルウェア」などがあります。問題があると、検索結果に警告が付いたり、ブラウザで警告の画面が表示されたりすることがあると、Googleのヘルプで説明されています。
Search Consoleにサイトを登録していない場合は、改ざんが落ち着いてからでもかまわないので、登録しておきましょう。後で紹介する「再審査」も、Search Consoleから申し込みます。
知らせを受けやすいように
制作会社にサイトを作ってもらった場合、Search Consoleやサーバー会社の連絡先が、制作会社のメールアドレスになっていることがあります。すると、警告が自社に届かず、気づくのが遅れます。誰のメールアドレスに知らせが届くのかは、ふだんから確かめておきたいところです。考え方はドメインとサーバーとは？ホームページを持つ前に知っておきたい基本でも紹介しています。
やってはいけないこと
改ざんに気づくと、一刻も早く元に戻したくなります。その気持ちは当然ですが、次のことは避けてください。
- おかしな部分だけを消して、終わりにする：見えている文章を消しても、入口になった弱いところや、裏に仕込まれたファイルが残っていれば、また書きかえられます。
- 記録を取らずに、すべてを作り直す：何が起きたかが分からなくなり、原因の調査や、取引先への説明、個人情報の判断ができなくなります。
- 「様子を見る」と放っておく：その間も、訪れたお客様が偽のサイトへ移されたり、悪いプログラムを受け取ったりするおそれがあります。
- 社内だけで抱えこむ：制作会社やサーバー会社のほうが、記録や調べる手段を持っています。早めに知らせましょう。
気づいてから再公開までの順番
ここからは、改ざんに気づいてから、元どおりに公開するまでの流れです。WordPressの公式ドキュメント「My site was hacked」や、Googleの案内に沿って、会社として進める順番に並べました。実際の作業の多くは制作会社やサーバー会社に頼むことになりますが、流れを知っておくと、話が早く進みます。
1. 落ち着いて、記録を残す
WordPressの公式ドキュメントは、まず落ち着くこと、そして最初にやるべきこととして「記録」を挙げています。次のことをメモしておきましょう。
- 何を見て、改ざんだと思ったのか（画面のスクリーンショットとアドレス）
- いつ気づいたのか（日付と時刻）
- 最近、サイトに何をしたか（プラグインを入れた、デザインを変えた、担当者が変わった、など）
- どのサーバー会社を使い、どのプランか、誰が管理画面に入れるのか
このメモは、制作会社やサーバー会社に相談するときにも、取引先に説明するときにも、個人情報の判断をするときにも使います。
2. サイトを一時的に止める
訪れた人に被害が広がらないよう、サイトを一時的に止めます。総務省の「国民のためのサイバーセキュリティサイト」でも、復旧に時間がかかる場合は、一時的にホームページを非公開にすることを検討するよう案内されています。
止め方は、「ただいまメンテナンス中です」と表示する、サーバーの設定で公開を止める、などがあります。お客様や取引先が電話やメールで連絡できるよう、メンテナンスの表示に連絡先を書いておくと親切です。自分で止め方が分からない場合は、無理をせず、次の連絡先に頼みましょう。
3. 制作会社・サーバー会社に連絡する
WordPressの公式ドキュメントでは、サーバー会社に確かめることもすすめられています。同じサーバーを何社かで分けて使う「共用サーバー」の場合、被害が自社のサイトだけでないこともあり、サーバー会社が対応を進めていることもあるためです。また、本当に改ざんなのか、サーバーの不具合なのかを見分けてもらえることもあります。
制作会社に保守を頼んでいる場合は、まず制作会社に連絡します。保守の契約がない場合や、制作会社と連絡がつかない場合は、サーバー会社に連絡し、別の会社に調査と復旧を頼むことも考えます。乗り換えの進め方はホームページの制作会社を乗り換える手順で紹介しています。
4. パスワードを変える
入口をふさぐため、関係するパスワードをすべて変えます。WordPressの公式ドキュメントでは、WordPressの管理画面だけでなく、FTP・SFTP、サーバーの管理画面、データベース（MySQL）など、すべての入口を変えるよう案内されています。自分のアカウントだけでなく、管理画面に入れるすべての人が対象です。
- 長く、複雑で、ほかで使っていないパスワードにする
- 知らない管理者のアカウントがあれば、記録したうえで制作会社と相談して削除する
- 2段階の認証（パスワードに加えて、スマートフォンなどでもう一度確かめる仕組み）が使えるなら、有効にする
あわせて、管理画面に使っている社内のパソコンも、ウイルス対策ソフトで調べておきます。WordPressの公式ドキュメントでも、パソコンに入りこんだ悪いプログラムでパスワードを盗まれ、それが改ざんの入口になることがあると説明されています。
5. 原因を調べる
どこから入られたのかを調べます。原因が分からないまま元に戻すと、同じ入口からまた改ざんされます。サーバーに残っている記録（アクセスの記録）、更新されたファイルの日時、古いまま残っている本体やプラグインなどを手がかりにします。専門の知識がいる作業なので、制作会社やサーバー会社、セキュリティの専門会社に任せる部分です。主な原因は、次の章で紹介します。
6. きれいな状態に戻す
改ざんされる前の、きれいな状態に戻します。改ざんされる前に取った「バックアップ（控え）」があれば、それを使うのが近道です。ただし、バックアップの時点で、すでに悪いファイルが仕込まれていた、ということもあります。いつ改ざんされたのかを調べたうえで、どの時点の控えを使うかを決めます。
WordPressの公式ドキュメントでは、元に戻す作業に入る前に、改ざんされた状態のままでも、もう一度サイトの控えを取っておくことがすすめられています。後で調べ直すときの手がかりになるからです。
7. 本体・プラグイン・テーマを新しくする
きれいになったら、WordPressの本体、プラグイン、テーマ（デザインの部品）を新しい版にします。WordPressの公式ドキュメントでも、古い版ほど狙われやすいと説明されています。使っていないプラグインやテーマは、入口になるだけなので消します。サーバーで使っている「PHP」というプログラムの版が古い場合は、それも新しくします。進め方はWordPressのPHPバージョンとは？確認方法と安全な更新の手順・注意点で紹介しています。
8. もう一度パスワードを変えて、再公開する
WordPressの公式ドキュメントは、サイトがきれいになったことを確かめた後に、もう一度パスワードを変えるよう案内しています。改ざんに気づいたときに変えたパスワードが、まだ残っていた悪いプログラムに盗まれているかもしれないためです。そのうえで、メンテナンスの表示を外して、サイトを元どおりに公開します。
9. Search Consoleで再審査を申し込む
Search Consoleの「セキュリティの問題」に知らせが出ていた場合は、修正が終わったら「審査をリクエスト」から、Googleに見直しを申し込みます（再審査リクエスト）。Googleの案内では、申し込む前に、次のことを済ませておくよう説明されています。
- Search Consoleで、サイトの持ち主であることを確かめている
- ハッキングによる被害を取り除いた
- 入口になった弱いところ（脆弱性）を直した
- きれいになったサイトを、公開に戻した
申し込むときは、何をしたのかを具体的に書きます。Googleのヘルプでは、ほとんどの再審査は数日から数週間かかり、進み具合はメールで知らされるとしています。種類ごとの目安として、マルウェアは数日、スパム（勝手な文章やページ）を含むハッキングは最長で数週間かかることがある、と案内されています。結果が出るまでの間も、サイトに問題が残っていないかを見守りましょう。
勝手に作られたページが検索結果に残っている場合は、そのページを消したうえで、時間をかけて検索結果から外れていくのを待ちます。
主な原因
総務省の「国民のためのサイバーセキュリティサイト」は、ホームページの改ざんというと、高度な知識や技術を持った攻撃者によるものと思うかもしれないが、実際は、簡単な管理者のパスワードや、知られている脆弱性が残っていたなど、基本的な対策を怠ったことが原因であることがほとんどだと説明しています。WordPressのサイトで多いのは、次のような原因です。
| 原因 | どういうことか |
|---|---|
| 古いWordPress本体・プラグイン・テーマ | 弱いところが見つかって修正版が出ているのに、更新していない。弱いところは公開されるため、古いままのサイトが狙われる |
| 弱いパスワード | 短い、推測しやすい、ほかのサービスと同じパスワードを使っている。何度もログインを試されて破られる |
| 古いPHP | サーバーで使っているPHPの版が古く、安全のための修正が受けられない状態になっている |
| 使っていないプラグインやテーマ | 止めたつもりで残っているものが、入口になる |
| 管理するパソコンの感染 | 社内のパソコンからパスワードを盗まれる |
PHPに重大な弱いところが見つかった例は、PHPの脆弱性（PHP2Shell）とは？自社サイトの確かめ方と対応で紹介しています。作ったまま何年も更新していないサイトは、改ざんに気づいていなくても、一度点検しておくと安心です。
フォームで個人情報を扱っていた場合
お問い合わせ、資料請求、見学の予約、採用の応募などのフォームで、お客様や応募者の名前や連絡先を集めていた場合は、自社の情報だけの問題ではなくなります。改ざんで入られたときに、フォームの送信内容や、サーバーに保存していた情報を見られたおそれがあるためです。
報告と本人への通知が必要になることがある
個人情報保護委員会は、個人データの漏えいなどが起きた、または起きたおそれがある場合に、委員会への報告と本人への通知が必要になる事態として、4つの類型を示しています。その一つが、不正アクセスなど「不正の目的をもって行われたおそれ」がある行為による漏えい等です。
大切なのは、この類型には、「本人の数が千人を超える」といった人数の条件がないことです。対象が数人でも、不正アクセスによる漏えいのおそれがあれば、報告や通知が必要になる場合があります。
報告は、知ってから速やかに出す「速報」（目安は3〜5日以内）と、くわしい内容をまとめた「確報」に分かれ、不正の目的による漏えい等の場合、確報は知った日から60日以内とされています。
まず確かめること
- フォームの送信内容が、サーバーやWordPressの中に保存されていたか（メールで受け取るだけか、データベースにもためていたか）
- いつから、何件、どんな項目（名前、会社名、電話番号、メールアドレス、自由記述など）を集めていたか
- 調査で、情報を見られた形跡やおそれがあると分かったか
報告や通知が必要かどうかは、調査の結果や集めていた情報によって変わり、最終的には自社で判断することになります。迷う場合は、弁護士などの専門家に早めに相談し、個人情報保護委員会の公式の案内も確かめてください。考え方は、ホームページ作成サービスで起きた不正アクセスを例にしたStudioの不正アクセス・個人情報流出｜利用企業が今すぐやることでもくわしく紹介しています。
取引先やお客様への伝え方
サイトを止めたり、偽のサイトへ移される被害が出ていたりすると、取引先やお客様から問い合わせが来ることがあります。また、改ざんされたサイトから、自社を名乗る不審なメールや偽の画面が出ていた場合は、こちらから知らせたほうが被害を防げます。
伝える内容
- 何が起きたのか（いつ、どのページで、どんなことが起きたか）
- 訪れた人に、どんな影響のおそれがあるか（偽のサイトへ移された、悪いプログラムを受け取ったおそれがある、など）
- 自社としてとった対応（サイトを止めた、調査を頼んだ、パスワードを変えた、など）
- まだ分かっていないことと、分かったら知らせること
- 問い合わせの窓口
伝え方のコツ
分かっていることと、まだ調べていることを分けて伝えるのが基本です。分からないことを推測で「大丈夫です」と言ってしまうと、後で説明が変わったときに信用を失います。また、問い合わせを受ける人を決め、答える内容を社内でそろえておきましょう。
個人情報が関わる場合の本人への通知は、上の章で紹介したとおり、専門家に相談しながら進めます。ホームページでお知らせを出すことと、本人に通知することは別のものとして考えます。
相談できる公的な窓口
制作会社やサーバー会社のほかに、公的な相談先もあります。
| 窓口 | どんなところか |
|---|---|
| 警察（都道府県警察のサイバー犯罪相談窓口） | 警察庁は、サイバー事案の通報や相談を受け付ける全国共通のオンライン窓口を設けている。被害届を出す場合は、最寄りの警察署などに連絡する。急ぎでない相談は警察相談専用電話「#9110」も使える |
| IPA「コンピュータウイルス・不正アクセスに関する届出」 | 不正アクセスの被害を、企業や組織も届け出られる。被害の広がりや再発を防ぐために使われる |
| IPA「情報セキュリティ安心相談窓口」 | ウイルスや不正アクセスなど、一般的な情報セキュリティの技術的な相談に応じる。主に一般の個人向けで、企業・組織向けには別の案内がある |
| 個人情報保護委員会 | 個人データの漏えい等の報告を受け付ける。報告の方法や様式は公式ページで案内されている |
窓口の電話番号や受付時間は変わることがあるので、相談するときは、記事の最後の公式ページで確かめてください。
再発を防ぐには
復旧できたら、同じことを繰り返さないための備えをします。総務省の案内でも、改ざんされた原因を調べ、再発防止の策を考えて実施することが求められています。中小企業でも続けやすいのは、次のようなことです。
- WordPressの本体、プラグイン、テーマを、こまめに更新する
- 使っていないプラグインやテーマ、昔のアカウントを消す
- パスワードを長く、使い回さないものにし、2段階の認証を使う
- 改ざんされる前の状態に戻せるよう、定期的にバックアップを取る
- Search Consoleに登録し、知らせが自社に届くようにしておく
- 誰が更新・管理を担当するのかを決めておく
くわしいやり方はWordPressのセキュリティ対策で紹介しています。社内で更新を続けるのが難しい場合は、保守を外に頼むか、更新の手間が少ない作り方に移ることも選べます。WordPressからほかの作り方に移る場合の進め方は、WordPressから乗り換えるには？乗り換え先の比べ方と移行の手順で紹介しています。
マツケンスタジオでは、最初の相談から公開後まで同じ担当が受け持ち、公開後の更新や改善も続けられます。社内で更新するのが難しい場合は、月額のサポートで代わりに更新することもできます。ドメインとサーバーは、お客様の名義のままで進めます。
まとめ
WordPressのサイトが改ざんされたかもしれないときは、慌てて消さずに記録を残し、サイトを一時的に止めて、制作会社やサーバー会社に連絡します。パスワードをすべて変え、原因を調べ、きれいな状態に戻して本体・プラグイン・テーマを新しくし、もう一度パスワードを変えてから再公開します。Search Consoleに警告が出ていた場合は、最後に再審査を申し込みます。お問い合わせフォームなどで個人情報を扱っていた場合は、不正アクセスでは人数の条件がないことを踏まえ、早めに専門家に相談してください。
出典（いずれも公式ページ。2026年10月22日に確認）
よくある質問
見覚えのない文章やリンクがある、別のサイトへ移される、検索結果に身に覚えのない言葉が並ぶ、ブラウザに危険なサイトの警告が出る、などがサインです。Search Consoleに登録していれば、「セキュリティの問題」レポートにGoogleが見つけた問題が表示されます。サーバー会社から連絡が来ることもあります。
見えている部分を消しても、入口になった弱いところや、裏に仕込まれたファイルが残っていれば、また書きかえられます。記録を残したうえで、原因を調べ、きれいな状態に戻し、本体やプラグインを新しくしてから再公開する、という順番で進めましょう。
訪れた人が偽のサイトへ移されたり、悪いプログラムを受け取ったりするおそれがあるため、一時的に止めることをおすすめします。総務省の案内でも、復旧に時間がかかる場合は一時的に非公開にすることを検討するよう書かれています。メンテナンスの表示に、電話などの連絡先を書いておくと親切です。
Googleのヘルプでは、ほとんどの再審査は数日から数週間かかるとされています。目安として、マルウェアは数日、スパムを含むハッキングは最長で数週間かかることがあると案内されています。申し込む前に、被害を取り除き、弱いところを直して、きれいなサイトを公開に戻しておく必要があります。
個人情報保護委員会が示す類型のうち、不正アクセスなど不正の目的によるおそれがある漏えい等には、人数の条件がありません。対象が少なくても、委員会への報告や本人への通知が必要になる場合があります。調査の結果によって判断が変わるので、弁護士などの専門家に早めに相談してください。
まずはサイトを作った制作会社と、サーバー会社に連絡します。公的な窓口としては、警察のサイバー犯罪相談窓口や、IPAの不正アクセスに関する届出の制度があります。個人情報が関わる場合は、個人情報保護委員会の案内を確かめ、専門家にも相談しましょう。
「何から始めればいいか分からない」という段階でも大丈夫です。町工場発のマツケンスタジオが、ドメインの取得から公開後の更新まで、まるごとお手伝いします。いまは毎月3社まで、特別な価格で制作する「事例づくりモニター」も受け付けています。