ホームページが改ざんされたかもしれない、何から確認すべきか分からない
「サーバー会社から、身に覚えのないファイルが置かれているという連絡が来た」「朝からホームページが表示されなくなっている」。そうした状態でこのページにたどり着いた方もいらっしゃると思います。何が起きているのか分からず、何から手をつければいいのかも分からない。改ざんのつらさは、被害そのものよりも、判断材料がないまま時間が過ぎることにあるのかもしれません。
先にお伝えします。この段階で最初に取り組むことは、原因の特定でもセキュリティの勉強でもありません。まず行いたいのは、今どういう症状が出ているのかを記録し、バックアップが残っているかを確認することです。閲覧者への影響が疑われる場合は、記録を残したうえで、サイトを一時的に停止する必要があるかもあわせて判断します。反対に、画面上の不審な表示だけを慌てて消してしまうと、あとから状況を再現できなくなることがあります。
このページでは、ENVY DESIGNが復旧のご相談を受けてきた範囲での観察をもとに、改ざんが疑われるときの確認の順番と、制作会社への伝え方を整理します。対策一覧ではなく、今日この場で次の一手を決めるための内容です。
このページでわかること
- 改ざんが最初に発覚する経路として、実務で多いもの
- 見た目が変わらないまま進む改ざんがあること
- 侵入の入口になりやすい箇所を、頻度の高い順に
- 戻せる範囲を左右するのは、バックアップの有無だけではないという観察
- 直す前に記録すべき情報と、制作会社にそのまま伝えられる文言
改ざんは「気づく」ものではなく、「告げられる」ものでした
ENVY DESIGNがこれまでに復旧のご相談を受けてきた範囲では、最初の一報はサーバー会社から届くことが多く、次に多いのがお客様ご自身で「サイトが表示されない」と気づかれるケースでした。私たちの定期確認で先に見つけた、という順番ではありません。母数の少ない観察ではありますが、この順番そのものに意味があると考えています。
相談として上がってくるのは、見た目が変わらないまま進んでいた改ざんです。トップページが書き換えられるような分かりやすいものばかりではありません。サーバーの中に身に覚えのないファイルが置かれ、外から見るぶんには今までどおりに見えている。異変が表に出るのは、サーバーが異常に重くなったときや、サイト自体が落ちたときです。
Googleも、サイトがハッキングされていると判断した場合の検出結果を Search Console のセキュリティの問題レポートに表示するとしています。ハッキングされたコンテンツ、マルウェアや望ましくないソフトウェア、ソーシャルエンジニアリングという分類があり、検索結果に警告ラベルが付いたり、ブラウザ側で警告ページが表示されたりする場合があるとも説明されています。
つまり、サイトの持ち主より先に、サーバー会社や検索エンジン、そして閲覧者のほうが異変に触れる構造になっています。「見た目が変わっていないから大丈夫」という判断は、この構造とかみ合いません。改ざんを自分の目で発見しようとするより、告げられたときにすぐ動ける状態にしておくほうが現実的だと考えられます。
なぜ入り込まれてしまうのか
以下はENVY DESIGNが関わった範囲で見かける頻度順です。統計的な順位ではなく、実務での体感である点はご了承ください。
プラグインやテーマが、更新されないまま置かれている
最も頻繁に見かけるのがこの状態です。WordPressでは、本体だけでなく、追加したプラグインやテーマの脆弱性が侵入の入口になることがあります。更新の通知は管理画面に出ているものの、押していいのか分からず放置され、年単位で時間が経っている。担当者が代わったり他の業務が優先されたりして、自然とそうなっているケースが大半です。
更新したくても、できない状態になっている
見落とされがちなのが、更新ボタンを押してもエラーになる状態です。サーバー移転の履歴やファイルの所有者設定が原因で、管理画面からの更新が通らなくなっていることがあります。経緯はプラグインが更新できない原因にまとめていますが、この場合は「更新していない」のではなく「更新できない」ため、担当者の意識だけでは解決しません。
ログイン周りが、初期設定のまま残っている
管理者アカウントのユーザー名が推測しやすい、パスワードをほかのサービスと使い回している、ログイン試行への制限がない。こうした状態が重なると、機械的な総当たりに対して弱くなります。管理画面URLの変更も自動アクセスを減らす方法のひとつですが、それだけで防げるものではありません。ENVY DESIGNで標準的に行っている設定はWordPressのセキュリティ対策の基本内容に公開しています。自社サイトの対応状況と照らし合わせる材料にしてください。
「うちのような会社は狙われない」という前提
攻撃は企業を選んで行われるとは限らず、脆弱性のあるサイトを機械的に探して回るかたちで進みます。規模や知名度は、探索の対象になるかどうかとは別の話です。IPAの「情報セキュリティ10大脅威 2026」でも、システムの脆弱性を悪用した攻撃は組織向けの上位に挙げられています。自動化の実態はゼロデイAI攻撃とWordPressの基本対策でも触れています。
戻せるかどうかを左右していたのは、バックアップの有無だけでなく「いつのものか」でした
ここからはENVY DESIGNが対応してきた範囲での観察です。件数は多くないため、業界全体の傾向として読まないでいただければと思います。
私たちのところに来る相談は、身に覚えのないファイルが設置されてサーバー会社から警告を受けるパターンと、サイト自体が落ちるパターンに分かれます。前者は「改善されない場合はアカウントを停止する」といった趣旨の連絡が届くこともあり、時間的な猶予がない状態で相談が始まります。
復旧そのものに要した期間は、数時間から3日程度に収まることが多かったという印象です。ただし、この幅がどこで決まるかというと、被害範囲の広さではありませんでした。改ざんが起きる前の状態と確認できるバックアップが残っていれば、そこまで戻せる可能性が高くなります。無い場合は、残っているファイルとデータベースから組み立て直すことになり、時間も、戻せる範囲も変わってきます。
見落とされやすいのが、バックアップの世代と、改ざんが始まったと考えられる時期の関係です。自動バックアップが7日分あっても、入り込まれたのが10日前であれば、残っている世代すべてに不正なファイルが含まれている可能性があります。「バックアップはあります」という言葉だけでは、戻せるかどうかはまだ決まりません。
復旧のご相談自体は、ENVY DESIGNで制作していないサイトでもお受けしています。お断りするケースは限られます。ただ、正直にお伝えすると、完全に元の状態へ戻すことが難しい場合はあります。理由の多くは、改ざん前の状態と判断できるバックアップが残っていないことです。復旧を請け負っている側として書きにくい部分ではありますが、ここを曖昧にしたまま着手すると、期待とのズレがそのままトラブルになってしまいます。
平常時に確認しておく価値が高いのはバックアップの状態だと考えています。取得されているか、どこに保存されているか、何日分さかのぼれるか、そしてその範囲が、改ざん前と判断できる時点まで届いているか。この4点です。取得手段が限られる環境でどう対応したかはphpMyAdminが使えないWordPressのバックアップ方法に実際の手順として残しています。
まず確認すること、そのあと制作会社に伝えること
直す前に、今の状態を記録する
不審な表示を見つけると、すぐ消したくなります。ただ、消してしまうと何が起きていたのかを後から追えなくなることがあります。まず、届いた警告メールを削除せず、内容を省略したり書き換えたりせずに制作会社へ共有してください。サーバー会社の通知には、検知時刻や対象ファイルのパスなど、切り分けに使える情報が含まれていることがあります。
画面側に異常が出ている場合は、スクリーンショットも残します。あわせて記録したいのは、いつから症状が出ているかと、直前に何か作業をしたかどうかです。Search Console のセキュリティの問題レポートも確認します。
バックアップがあるかを確認する
確認先は2か所です。サーバー会社の管理画面に自動バックアップの機能があり、保存日数が決められています。もうひとつは制作会社や保守業者で、契約に含まれている場合があります。どちらも「あるかどうか」ではなく「いつの時点まで戻せるか」を確認してください。契約範囲の考え方はホームページのバックアップは取ってもらえますか？でも説明しています。
制作会社に伝える言葉
技術的な説明ができなくても問題ありません。次の内容がそのまま伝われば、受け取る側は状況を判断できます。
- サーバー会社から届いた連絡の原文を、そのまま共有します
- 症状に気づいたのは何月何日の何時ごろで、そのとき何が見えていたか
- サーバーの自動バックアップが何日分残っていて、いつの時点まで戻せるかを確認してほしい
- 復旧できる範囲と、戻せない可能性がある部分を先に教えてほしい
- 入口になった箇所が分かった場合、再発を防ぐ対応まで含めて見積もってほしい
よくある質問
ホームページが改ざんされているかどうか、自分で確認できますか?
表示上の変化がない改ざんもあるため、画面を見るだけの判断は難しいと考えられます。手がかりになるのは、Search Console のセキュリティの問題レポート、サーバー会社からの通知、サーバー負荷の急な変化などです。確信が持てない段階でも、記録を残して相談していただくのが早いと思います。
サーバー会社から警告が届きました。サイトを止めた方がよいですか?
状況によって判断が変わるため、一律にはお答えしにくい部分です。閲覧者に影響が及ぶおそれがある場合、一時的に公開を止める判断が取られることがあります。ただし止め方によっては調査がしづらくなるため、警告の原文を共有したうえで対応する側と決めるのが安全だと考えられます。
他社で制作したホームページでも対応してもらえますか?
お受けしています。ENVY DESIGNで制作したサイトかどうかは条件にしていません。サーバーやWordPressの管理情報にアクセスできることが前提になりますので、ログイン情報が分からない場合は、その旨も含めてご相談ください。
バックアップがない場合、元には戻せませんか?
戻せないと決まるわけではありません。残っているファイルやデータベースから組み立て直せる場合もあります。ただし完全な復元は難しくなりやすいため、着手前にどこまで戻せそうかの見通しを共有しておくことをおすすめします。なお、バックアップが残っていても、改ざんより後に取得されたものであれば、不正なファイルごと復元してしまう可能性があります。
検索結果に警告が表示されてしまいました。元に戻りますか?
Search Console に表示されている問題を解消し、修正した内容を確認したうえで再審査をリクエストする、という順序が案内されています。原因が残ったまま申請すると、審査を通らないことがあります。反映までの期間は状況によって変わります。
被害かどうか判断がつかない、という段階でもご相談いただけます
改ざんの相談は、確証を持ってから来るものばかりではありません。サーバー会社からの連絡の意味が分からない、サイトが落ちているが原因が分からない。そうした段階のほうがむしろ多いです。整理してからでなくて構いません。届いたメールの原文と、今見えている症状だけをお持ちください。何が起きている可能性があるか、まず一緒に切り分けます。
出典
関連ページ