ホームページが改ざんされたら｜気づいたときの対応の順番
「会社のサイトを開いたら、見覚えのない外国語のページが出た」「お客様から、サイトを開くと別のサイトに飛ばされると言われた」「ブラウザに危険なサイトという警告が出る」。ホームページの改ざんは、こうした形で突然見つかります。慌ててファイルを消したり、すぐに控えから戻したりしたくなりますが、順番を誤ると、原因が分からなくなり、同じところからまた入られます。
この記事では、改ざんや乗っ取りに気づいたときに、何をどの順ですればよいかをまとめます。最初の1時間でする止め方と記録の残し方、パスワードを変える範囲、WordPress のサイトの調べ方と戻し方、届け出の先の違いまで説明します。ふだんの予防の手はホームページの改ざん対策にまとめているので、ここでは起きた後の動き方に絞ります。
改ざんかどうかを見分ける
まず、本当に改ざんなのかを確かめます。サーバーの障害や、ドメインの期限切れでも、サイトがおかしく見えることがあります。
| 見えていること | 改ざんの疑い | ほかに考えられること |
|---|---|---|
| 見覚えのないページや文字が出る | 強い | ― |
| 別のサイトに飛ばされる（スマートフォンだけのことも多い） | 強い | 広告の部品の不具合 |
| ブラウザやウイルス対策ソフトが警告を出す | 強い | 証明書（https）の期限切れ |
| 会社名で検索すると、見覚えのないページが出てくる | 強い | ― |
| 管理画面に知らない利用者がいる、入れなくなった | 強い | パスワードの入れ間違い |
| サイトがまったく表示されない | 弱い | サーバーの障害、ドメインやサーバーの期限切れ |
警察庁の「ウェブサイト改ざん対策」では、検索の窓に「site:自社のドメイン名」と入れて、見覚えのないページが登録されていないかを確かめる方法が紹介されています。見えない場所にだけページを足される手口もあるため、トップが無事でも安心はできません。
最初の1時間ですること
- 被害を広げない：サイトを一時的に閉じるか、点検中の表示に切り替える。自社でできなければ、サーバー会社や制作会社に頼む
- 記録を残す：気づいた日時、何が表示されたか、どの端末で見たかを、画面の写しとともに残す
- 証拠を消さない：サーバーのファイルとデータベース、アクセスの記録（ログ）の控えを取る。消すのは控えを取った後
- 関係者に知らせる：社内の責任者、制作会社や保守の会社、サーバー会社に、同じ内容を伝える
- パスワードを変える：次の節の範囲で
警察庁は、アクセスの記録を適切に保管しておくこと、改ざんされていないサーバーやパソコンも含めて調べることを勧めています。サーバー会社によっては、アクセスの記録を一定の期間しか残さないので、早めに控えを取ります。
パスワードを変える範囲
改ざんでは、どこから入られたかがすぐには分かりません。WordPress の公式の案内も、すべての入り口のパスワードを変えるよう勧めています。変える範囲は、次のとおりです。
| 入り口 | 変えるもの |
|---|---|
| サイトの管理画面 | すべての利用者のパスワード。知らない利用者は消す |
| サーバー | サーバーの管理画面、ファイルの転送（FTP・SFTP）、データベースのパスワード |
| ドメイン | ドメインの管理画面 |
| メール | 管理画面のパスワードの再設定を受け取るメールアドレス |
| パソコン | 更新に使っているパソコンのウイルスの検査。感染していれば、変える前に駆除する |
**更新に使うパソコンが感染していると、変えたばかりのパスワードもまた盗まれます。**パソコンの検査を先に済ませてから、別のきれいな端末で変えるのが安全です。
原因を調べて、元に戻す
WordPress のサイトの場合
WordPress の公式の案内（2026年7月更新）では、乗っ取られたサイトを直す手順として、おおむね次のことを挙げています。
- 直す前に、今の状態の控え（バックアップ）を取る
- サーバー会社に、サーバー側で何か見つかっていないかを聞く
- WordPress の本体のフォルダ（wp-admin・wp-includes）を、公式の新しいものに入れ替える
- 設定のファイル（.htaccess など）やテーマのファイルに、見覚えのない書き込みがないかを見る
- 設定のファイルの中の秘密の鍵を新しくする
- 本体・テーマ・プラグインを新しい版にし、使っていないものは消す
- きれいになった後に、もう一度すべてのパスワードを変える
控えから戻すときの注意
改ざんされる前の控えがあれば、そこから戻すのがいちばん早い方法です。ただし、いつ入られたかが分からないと、入られた後の控えから戻してしまうことがあります。また、原因の古いプラグインやパスワードをそのままにして戻すと、同じところからまた改ざんされます。戻した後は、仕組みと部品を新しい版にし、パスワードを変えてから公開し直します。
自社で原因が分からない場合は、制作会社や保守の会社、専門の会社に頼みます。制作会社と連絡が取れない場合の進め方は制作会社と連絡が取れないときで説明しています。
届け出と相談の先
| 先 | どんなときに | 届け方 |
|---|---|---|
| 都道府県警察のサイバー事案の相談窓口 | 被害の相談、捜査を求めたいとき | 警察庁は、アクセスの記録などの資料を持って最寄りの警察署か相談窓口へ、事前に電話をしてから行くよう案内している |
| IPA（情報処理推進機構）の不正アクセスの届け出 | 被害を届けて、同じ被害を防ぐ情報に役立ててもらうとき | 任意。メールなどで届け出る |
| IPA の情報セキュリティ安心相談窓口 | 何をすればよいか分からず、相談したいとき | 個人と中小企業向けの相談窓口。電話・メールなど |
| JPCERT/CC | 改ざんへの対応の手助けを求めるとき | ウェブのフォームかメール。原則として電話では受け付けていない |
| 個人情報保護委員会 | 預かった個人情報が漏れたおそれがあるとき | 次の節を参照 |
（2026年10月時点の各機関の案内による）
個人情報が漏れたおそれがあるとき
問い合わせフォームや予約、会員の仕組みがあるサイトでは、そこに残っていた個人情報が盗まれたおそれも考えます。
個人情報保護委員会の案内では、不正アクセスなど、不正な目的で個人データが漏れた、または漏れたおそれがある場合は、委員会への報告が必要とされています。報告は、知った時から3〜5日以内の速報と、原則30日以内（不正な目的のものは60日以内）の確報の2段階です。あわせて、原則として本人への通知も必要です。この決まりは2022年4月1日から始まっています。
漏れたおそれがあるかどうかの判断が難しい場合も、早めに委員会の案内を確かめます。サイトにどんな個人情報を残していたかは、ホームページのプライバシーポリシーの書き方で書いた内容とも照らし合わせます。
公開を再開する前のチェックリスト
- 入られた原因の見当がつき、その原因をふさいだ
- 仕組みと部品を新しい版にし、使っていない部品を消した
- すべての入り口のパスワードを、きれいな端末で変えた
- 知らない利用者や、見覚えのないファイルが残っていない
- 「site:自社のドメイン名」で、見覚えのないページがもう出てこない
- ブラウザの警告が出ていたなら、Google のヘルプに沿って、直したことを伝える手続きをした
- 必要な届け出と、お客様へのお知らせを済ませた
再開した後もしばらくは、毎日サイトを開いて、また同じことが起きていないかを確かめます。保守を頼む場合の確かめどころはホームページ保守契約で確認することにまとめています。
Lapisデザインラボの月額サービスでは、仕組みの更新、データの控え、毎日の自動の確認と、不具合が起きたときの復旧をお引き受けしています。内容はサイト保守・更新をご覧ください。
よくある質問
ホームページが改ざんされたら、まず何をすればよいですか。
まず、見た人に被害が広がらないよう、サイトを一時的に閉じるか点検中の表示に切り替えます。あわせて、何が表示されたか、いつ気づいたかを画面の写しとともに記録します。サーバーのファイルやアクセスの記録（ログ）は調べるときに必要になるので、消したり上書きしたりする前に控えを取ります。
改ざんされたら、どこに報告すればよいですか。
被害の相談や捜査を求めるなら、都道府県警察のサイバー事案の相談窓口です。IPA には不正アクセスの届け出ができ、届け出は任意です。JPCERT/CC はサイトの改ざんへの対応の依頼を受け付けています。問い合わせなどで預かった個人情報が漏れたおそれがある場合は、個人情報保護委員会への報告と、本人への通知が必要になることがあります。
WordPress のサイトが乗っ取られたとき、自分で直せますか。
控えから戻すだけなら自社でもできることがありますが、入られた原因を残したまま戻すと、同じところからまた改ざんされます。WordPress の公式の案内でも、すべての入り口のパスワードの変更、本体の入れ替え、ファイルの点検、更新のあとのパスワードの再変更などを挙げています。原因が分からない場合は、制作会社や専門の会社に頼みます。