自社サイトが改ざんされたかもしれない——そう気づいた瞬間から、対応の質を決めるのは最初の1時間の判断です。改ざんは表示トラブルとは異なり、放置すれば訪問者を加害する側に回り、検索結果に警告が出て、信用と売上を同時に失います。一方で、慌てて不正ファイルを消すと原因究明の手がかりまで消え、裏口が残ったまま再発するのが典型的な失敗です。この記事では、症状の確認方法、初動でやること・やってはいけないこと、公開停止の判断基準、警察やIPAなどの届出先、復旧と再発防止までを、実務の順番どおりに整理します。
- 改ざんかどうかを今すぐ確認する5つの方法（スマホ確認・site:検索・Search Console）
- 最初の1時間の行動指針——保全が先、削除は後
- サイトを止めるべきかの判断基準
- 警察・IPA・個人情報保護委員会——どこに何を届け出るか
- WordPressで狙われる5か所と、検索結果の警告を消す手順
症状から見る：これは改ざんですか
第三者が不正にへ侵入し、サイトのファイルやデータを書き換える行為。表示を書き換える愉快犯型のほか、近年は気づかせないことを目的とした型が主流。訪問者を不正サイトへ転送する、検索エンジン向けに大量の不正ページを生成する、入力情報を盗む、といった形で、管理者が普段見る画面では正常に見えることが多い。
次のいずれかに当てはまるなら、改ざんを疑ってください。
- スマートフォンで開くと、別のサイトに飛ばされる：パソコンでは正常なのにスマホだけ、というのが典型です。閲覧環境を見分けて発動する仕掛けが仕込まれています。
- 検索結果に、身に覚えのないページが大量に出る：日本語以外の言語や、自社と無関係な商品名のページが並ぶ「SEOスパム型」です。
- Googleの検索結果に警告が表示される：「このサイトはハッキングされている可能性があります」等。ほぼ確定的なサインです。
- Search Consoleから通知が届いた：「セキュリティの問題が検出されました」のメール。無視してはいけません。
- 管理画面に入れない・管理者が増えている：アカウントを奪われた可能性があります。
- サーバーの使用量やアクセス数が急増した：不正なファイルの設置やスパムメール送信の踏み台にされている可能性。
現在の攻撃はほぼ自動化されており、攻撃者は会社名も規模も見ていません。脆弱性のあるサイトを機械的に探して侵入します。むしろ、更新が止まった中小企業のサイトは「侵入しやすい踏み台」として狙われやすい立場にあります。詳しくは「中小企業のホームページを狙うサイバー攻撃と対策」の記事で扱っています。
今すぐできる5つの確認方法
専門知識なしで、いま確認できる方法です。上から順にどうぞ。
- スマホの携帯回線で自社サイトを開くWi-Fiを切り、4G/5G回線で開いてください。改ざんの多くは訪問者の環境を判定して発動するため、社内のパソコンでは正常に見えることがあります。別サイトに飛ばされたら、その時点でほぼ確定です。
- Googleで「site:自社ドメイン」と検索する「site:example.co.jp」のように入力すると、そので検索エンジンに登録されているページの一覧が出ます。作った覚えのないページ、外国語のページ、無関係な商品名のページが並んでいたら、SEOスパム型の改ざんです。
- Google Search Consoleの「セキュリティの問題」を見る登録していれば、検出された問題の種類と該当URLが具体的に表示されます。改ざんの発見と、後の再審査申請の両方で必須のツールです。未登録なら、この機会に登録を強くおすすめします。
- ページのソースに不審なスクリプトがないか見るブラウザでページを右クリック→「ページのソースを表示」。見覚えのない外部サイトのURLや、長い意味不明の文字列（難読化されたコード）があれば要注意です。判断が付かなくても、その画面のスクリーンショットが専門家への重要な手がかりになります。
- サーバー上のファイルの更新日時を確認するサーバーのファイルマネージャーで、最終更新日が不自然に新しいファイルを探します。自分が更新していない日付でファイルが書き換わっていれば、侵入の痕跡です。この時点では削除せず、記録だけ取ってください。
最初の1時間にやること・やってはいけないこと
ここが最も重要です。順番を間違えると、原因が分からないまま再発するという最悪の結末になります。
| やること | やってはいけないこと |
|---|---|
| 症状・画面・日時を記録（スクリーンショット） | 先に不正ファイルを削除する（証拠と手がかりが消えます） |
| サーバーのログをダウンロードして保全する | サーバーを初期化する・作り直す |
| 管理画面・FTP・サーバーのパスワードをすべて変更する | 古いパスワードを使い回して変更する |
| 実害があれば公開を停止する（次章の基準） | 何事もなかったように放置して様子を見る |
| 顧客情報を扱っている場合、漏えいの有無を確認する | 漏えいの可能性を確認せずに公表・報告時期を逃す |
改ざんの本質は「侵入経路がある」ことです。置かれたファイルを消しても、入り口が空いていれば翌日また同じことが起きます。ログとファイルの状態は、どこから入られたかを突き止める唯一の材料です。復旧作業に入る前に、必ず記録を確保してください。
サイトを止めるべきか——公開停止の判断基準
「すぐ止めろ」と書く記事が多いのですが、営業への影響も無視できません。判断の軸は1つ、訪問者に実害が及ぶかどうかです。
| 状況 | 判断 |
|---|---|
| 不正サイトへの転送が確認できる | 直ちに停止。訪問者を加害する側になります |
| ウイルス・不正プログラムの配布が疑われる | 直ちに停止 |
| 偽の入力フォーム（フィッシング）が設置されている | 直ちに停止 |
| 表示の一部が書き換えられただけで、実害が確認できない | 証拠保全のうえ、復旧を優先する判断もあり得る |
| 判断が付かない | 停止側に倒す。信用の毀損より復旧の遅れのほうが軽い |
停止する場合は、サーバーの設定で一時的にアクセスを遮断するか、メンテナンス表示に切り替えます。ドメインやサーバーの契約自体は絶対に解約しないでください。ログもデータも失われ、復旧が不可能になります。
どこに届け出るのか（警察・IPA・個人情報保護委員会）
改ざんは犯罪被害です。届出先を整理しておきます。この整理は上位の解説記事でも手薄な部分なので、ブックマークをおすすめします。
| 窓口 | 何のために | 位置づけ |
|---|---|---|
| 都道府県警察のサイバー犯罪相談窓口 | 不正アクセス禁止法違反等としての相談・被害届 | 任意（ただし記録として重要） |
| IPA 情報処理推進機構（情報セキュリティ安心相談窓口） | 技術的な相談・対処の助言 | 任意 |
| 個人情報保護委員会 | 顧客の個人情報が漏えいした、またはその恐れがある場合の報告 | 要件に該当すれば法律上の義務 |
| 契約中のサーバー会社 | サーバー側の状況確認・ログの取得依頼 | 実務上ほぼ必須 |
通販サイト、会員登録、問い合わせフォームの履歴など、個人情報を扱うサイトが改ざん被害に遭った場合、個人情報保護法に基づく報告と本人への通知が義務となるケースがあります。報告には期限の定めがあり、判断を先延ばしにすると別の問題になります。該当しそうな場合は、早い段階で専門家や弁護士に相談してください。この記事は一般的な整理であり、個別の法的判断に代わるものではありません。
復旧の手順
- 証拠と現状の保全：スクリーンショット、ログ、改ざん後のファイル一式を別の場所に保存します。
- 侵入経路の特定：ログと更新日時から、いつ・どこから入られたかを突き止めます。古いプラグイン、使い回しのパスワード、権限設定の不備が主な入り口です。
- 脆弱性の修正とパスワード変更：入り口を塞ぎます。ここを飛ばして次に進むと、必ず再発します。
- 不正なファイル・アカウントの除去：置かれたファイル、追加された管理者、書き換えられた設定を除去します。
- クリーンな状態への復元：改ざん前のバックアップがあれば、そこから復元するのが最も確実です。無い場合は、正規のプログラムを入れ直してコンテンツを移す形になります。
- 再点検：復旧後、改めて site: 検索・スマホ確認・Search Consoleを見て、残存がないか確認します。
- 検索結果の警告解除：Search Consoleから再審査をリクエストします（次章）。
バックアップの有無が、費用と期間を決定的に分けます。改ざん前の正常な状態が残っていれば復元は比較的短時間で済み、無ければ再構築に近い作業になります。この記事を読んでいる方で、まだ被害に遭っていない方は、いますぐバックアップの設定を確認してください。
WordPressサイトの復旧で見るべき場所
国内の中小企業サイトの多くはWordPressです。狙われやすい場所は決まっています。
- ユーザー一覧：身に覚えのない管理者アカウントが追加されていないか。名前が正規のものに似せてあることもあります。
- wp-content/uploads配下：本来は画像などの置き場です。ここにPHPファイルがあれば、ほぼ確実に不正なものです。
- .htaccess：見知らぬ転送設定が追記されていないか。スマホだけ転送される仕掛けはここに書かれることがあります。
- 使っていない古いプラグイン・テーマ：停止中でもファイルが残っていれば侵入経路になります。使わないものは削除が原則です。
- index.php・wp-config.php等の更新日時：自分が触っていない日付で更新されていれば、書き換えられています。
除去そのものより難しいのが「消し残しがないかの判断」です。1つでも残れば再発します。判断に自信が持てない場合は、この段階で専門家に引き継ぐのが結果的に安く済みます。
検索結果からの警告を消す手順
検索結果の警告表示は、原因を除去しただけでは消えません。Googleに再確認してもらう手続きが必要です。
- Search Consoleで「セキュリティの問題」を開く検出された問題の種類（マルウェア、ハッキングされたコンテンツ等）と該当URLが表示されます。
- 問題をすべて解消したことを確認する該当URLを1つずつ確認し、不正な内容が残っていないことを確かめます。ここが不完全だと再審査は通りません。
- 再審査をリクエストする「修正をリクエスト」から、何が原因で、どう対処したかを具体的に記載して申請します。作業内容を具体的に書くほど審査は通りやすくなります。
- 審査結果を待つ数日程度かかることが一般的です。通過すると警告表示が消えます。落ちた場合は残存箇所があるため、除去をやり直します。
なお、改ざん期間中に大量の不正ページが検索エンジンに登録されていた場合、その削除処理にも時間がかかります。検索順位への影響は、警告が消えた後もしばらく残ることを見込んでおいてください。
再発防止：裏口を残さないために
- WordPress本体・プラグイン・テーマを常に最新にする：侵入経路の最多は「古いまま放置されたプログラム」です。自動更新の設定と、更新後の表示確認をセットで。
- 使っていないプラグイン・テーマは削除する：停止中でもファイルが残っていれば危険です。
- パスワードを使い回さず、二段階認証を入れる：他所から漏れたパスワードで入られるケースが多数あります。
- 管理者アカウントを整理する：退職者や制作会社のアカウントが残っていないか棚卸しを。
- バックアップを自動化し、復元テストを年1回行う：取れているつもりで壊れている、が最悪です。
- Search Consoleに登録し、通知を受け取れるようにする：異常の第一報がここから来ます。無料です。
これらの点検を自社で回すのが難しい場合、保守契約という選択肢もあります。当社は月額6,000円〜で、更新・監視・バックアップ・障害対応を含みます。改ざん復旧1回のスポット費用（50,000円〜）と、保守の年額（72,000円〜）はほぼ同水準です。「起きてから払う」か「起きにくい状態を保つ」かという、費用対効果の判断になります。
復旧費用の目安と依頼の判断
当社の場合の目安を明示します（範囲により変動、作業前に必ず見積り提示）。
| 作業 | 目安 | 備考 |
|---|---|---|
| 改ざん・マルウェアの駆除と復旧 | 50,000円〜 | 被害状況により大きく変動（10万円超の場合あり） |
| バックアップからの復旧 | 30,000円〜 | バックアップがある場合。無い場合は復旧できないことがあります |
| 原因調査・不具合修正 | 10,000円〜 | 改ざんかどうかの切り分けを含む |
自力での対処が難しいと感じたら、早い段階でご相談ください。改ざん対応は、時間が経つほど被害と費用が膨らむ数少ない領域です。窓口は修正・改修・不具合の緊急対応。他社で制作されたサイトにも対応します。ご相談の際は、確認方法の章で撮ったスクリーンショットを添えていただけると、初期の見立てが速くなります。
まとめ：消す前に保全、塞いでから復旧
改ざん対応の原則は3つです。(1)消す前に記録を保全する。(2)侵入口を塞いでから復旧する。(3)訪問者に実害が及ぶなら迷わず止める。この順番を守れば、被害は最小で収まります。
そして忘れられがちなのが、改ざんは「サイトの問題」であると同時に「信用の問題」だということです。検索結果に警告が出れば、取引先も求職者もそれを目にします。復旧の速さそのものが、事業の防衛になります。
いま被害の渦中にいる方は、確認と保全だけ済ませて、あとは当社の緊急対応窓口へお知らせください。何が起きているか分からない状態のままで構いません。判断に迷う時間が、いちばん高くつきます。
よくある質問
ホームページが改ざんされたかどうか、すぐに確認する方法はありますか？
5つあります。(1)スマートフォンの回線（Wi-Fiを切った状態）で自社サイトを開き、勝手に別サイトへ飛ばされないか確認する。(2)Googleで「site:自社ドメイン」と検索し、身に覚えのないページが大量に出ていないか見る。(3)Google Search Consoleの「セキュリティの問題」を確認する。(4)サイトのソースを表示し、見覚えのないスクリプトが埋め込まれていないか確認する。(5)サーバーのファイル一覧で、最終更新日が不自然に新しいファイルを探す。改ざんは訪問者にだけ見える形で仕込まれることが多く、管理者が普段使う環境では気づけないことがあります。
Google検索で「このサイトはハッキングされている可能性があります」と表示されました。どうすればいいですか？
実際に改ざんされている可能性が高い状態です。まずGoogle Search Consoleの「セキュリティの問題」で詳細（検出されたURLと種類）を確認してください。そのうえで、原因の除去（不正ファイルの削除・脆弱性の修正・パスワード変更）を完了させてから、Search Consoleで再審査をリクエストします。除去が不完全なまま再審査を出すと通らず、時間を失います。表示を消すことより、裏口を塞ぐことが先です。
改ざんされたら、サイトはすぐに公開停止すべきですか？
判断基準は「訪問者に実害が及ぶか」です。ウイルス配布、フィッシング（偽の入力フォーム）、不正サイトへの転送が確認された場合は、直ちに停止してください。訪問者を加害する側になってしまうためです。一方、表示の一部が書き換えられただけで実害が確認できない場合は、証拠を保全しながら復旧を優先する判断もあり得ます。迷った場合は「止める」が安全側です。
改ざん被害はどこに届け出ればいいですか？
3つの窓口があります。(1)警察：都道府県警のサイバー犯罪相談窓口。不正アクセス禁止法違反にあたる可能性があり、相談・通報ができます。(2)IPA（情報処理推進機構）：情報セキュリティ安心相談窓口で、技術的な相談ができます。(3)個人情報保護委員会：顧客情報の漏えいが発生した、またはその恐れがある場合、個人情報保護法に基づく報告義務が生じることがあります。通販サイトや会員情報を扱うサイトは特に該当しやすいため、早めに専門家へ相談してください。
WordPressサイトが改ざんされた場合、どこを見ればいいですか？
確認すべき場所は主に5つです。(1)ユーザー一覧に身に覚えのない管理者アカウントがないか。(2)wp-content/uploads配下にPHPファイルが置かれていないか（本来は画像等だけの場所です）。(3).htaccessに見知らぬリダイレクト記述がないか。(4)使っていない・古いプラグインやテーマが残っていないか。(5)wp-config.phpや index.php の更新日時が不自然でないか。ただし、これらを消すだけでは不十分で、侵入経路を塞がなければ再発します。
改ざんからの復旧を業者に依頼すると費用はいくらかかりますか？
当社の場合、改ざん・マルウェアの駆除と復旧は50,000円〜が目安で、被害状況により大きく変動します（10万円を超える場合もあります）。バックアップが残っていれば費用も期間も抑えられ、無い場合は再構築が必要になることがあります。参考までに、当社の保守契約は月額6,000円〜（年72,000円〜）で、改ざん復旧1回のスポット費用と年額がほぼ同水準です。「起きてから払う」か「起きにくい状態を保つ」かの選択になります。
