会社のホームページがハッキングされた！乗っ取り・改ざんを見つけた直後にやる5つのことと、再開までの流れ

01この記事でわかること（3行まとめ）

• まず公開を止めて、証拠を残します。警察庁は、改ざんに気づいたら直ちにサービスを止め、管理画面やデータベースのアクセス記録を保存・印刷するよう案内しています。
• パスワードは「全部」変えます。サイトの管理画面だけでなく、FTP、データベース、サーバーの管理画面、ほかの利用者の分もです。
• 入られた原因を直してから再開します。元に戻すだけでは、同じ穴からまた入られます。Googleの警告が出ていれば、直したあとにSearch Consoleから審査を頼みます。

警察庁は改ざんを「悪意のある者が、管理者の意図しない形でサイトの内容や設定を書き換えたり、意図しないファイルを置いたりすること」と説明しています。その結果、個人情報の盗み出しや訪れた人のウイルス感染も起きるとしています。

02乗っ取り・改ざんのサイン：こんなことが起きていませんか

警察庁、Google、WordPress.orgが挙げるサインです。

• 見た目が変わった・見覚えのない画像が出る：警察庁の相談例には「お客様から指摘されて見たら知らない画像が出ていて、管理画面にも入れない」というものがあります。
• 知らないページや広告、怪しい言葉やリンクが増えている：Googleは、医薬品などのスパムの言葉やリンクを足される「コンテンツ インジェクション」、勝手に新しいページを作られる「URL インジェクション」、埋め込んだ広告などが悪さをする例を挙げています。
• 別のサイトへ飛ばされる：Googleは、ページに悪いコードを入れられて、悪意のあるサイトへ転送される例（コード インジェクション）を挙げています。
• 検索結果に変な文字や見覚えのないページが出る：警察庁は、検索窓に「site:自社のドメイン」と入れて調べ、関係のないページが出ればサーバーが乗っ取られているおそれがあるとしています。
• ブラウザやGoogleの警告が出る：Googleは、危ないと判断したページの検索結果に警告ラベルを付け、開こうとした人のブラウザに警告ページを出すことがあるとしています。お客様のセキュリティソフトが反応するのも、警察庁の相談例にあるサインです。
• サーバー会社から連絡が来た・サイトを止められた：WordPress.orgは、サーバー会社にサイトを止められた、ほかのサイトへの攻撃に使われていると連絡が来た、覚えのない利用者が作られている、などを「はっきりした乗っ取りのサイン」に挙げています。

注意点として、Googleは、乗っ取られたページを自分のブラウザでそのまま開くのは避けるよう書いています。訪れた人だけに悪さをするページもあるからです。また、Googleの警告は見る人の状況で出たり出なかったりするため、自分の画面で再現できなくても安心しないでください。外から見える設定の弱点は、サイトの安全チェック（無料）でも確かめられます。

03見つけた直後にやる5つのこと

警察庁の「ウェブサイト改ざん対策」、Googleのweb.dev、WordPress.org、IPAの資料に共通する動きを、やる順番に並べました。

1. 公開を止める（メンテナンス表示にする）

警察庁は「直ちにサービスを停止」するよう案内しています。IPAの中小企業向け資料も、すぐに対処できない場合はサイトを一時的に止める選択があるとしています。Googleのweb.devは、サーバーを止めるか、別のサーバーに置いた「メンテナンス中」の表示に切り替えて「503」（一時的に使えないという合図）を返す方法を挙げ、一時的に止めても検索順位への影響はほとんどないとしています。やり方が分からなければ、サーバー会社に頼みます。乗っ取られた場所の外で503を出してくれることもある、とweb.devは書いています。

2. パスワードをすべて変える

web.devは、FTP（ファイルを送る仕組み）、データベース、サーバーの管理者、CMS（WordPressなどの更新ソフト）のログインを全部変えるよう書いています。WordPress.orgも、サーバーの管理画面やデータベースを含む「すべての入口」と、自分以外の全利用者が対象だとしています。あわせて利用者の一覧を見て、覚えのないアカウントがあれば名前を控えてから消します（web.dev）。

パスワードを打ち込むパソコンも確かめます。JPCERT/CCは、サイトの更新に使うパソコンがウイルスに感染し、FTPソフトに保存したパスワードを盗まれる例を注意喚起しており、WordPress.orgも手元のパソコンをウイルス検査するよう勧めています。そして、サイトをきれいにしたあとにも、もう一度パスワードを変えます（WordPress.org）。

3. ログ・証拠を残す

警察庁は、管理画面やデータベースのアクセスの記録（ログ）を保存・印刷し、バックアップと同じように大切に保管するよう案内しています。WordPress.orgは、何を見て乗っ取りだと思ったか、気づいた日時、最近何をしたか（プラグインを入れた、デザインを変えたなど）をメモするよう勧めています。さらに、乗っ取られた状態のままのファイルとデータベースを一度丸ごと保存しておきます（web.dev・WordPress.org）。消してしまうと、どこから入られたかを調べられなくなります。

4. 関係者へ連絡する

まずサーバー会社です。web.devもWordPress.orgも、サーバー会社に状況を伝えるよう書いています。共用サーバーでは被害が広がっている場合があるからです。制作や保守を外に頼んでいるなら、委託先にも確認を頼みます（JPCERT/CC）。社内では、公開を止めるかどうかを決める人に知らせます。IPAは、事故のときの社内の連絡先と、公開停止を判断する人を前もって決めておくよう勧めています。

5. 専門家・サーバー会社に相談する

IPAは、自社で対処できなければ、ウェブサイトやセキュリティの専門家に相談するよう書いています。原因を調べて直す専門の会社は事故対応（インシデント対応）の会社にまとめています。JPCERT/CCには改ざんされたサイトの対応を、警察には被害の相談を、それぞれ持ち込めます（詳しくは「困ったときの相談先」）。

04原因の調べ方：どこから入られたのか

警察庁は、改ざんの主なやり方として「盗んだIDとパスワードでの不正ログイン」「ソフトウェアの脆弱性（セキュリティの穴）を突く」「社内のアクセス管理の甘さを突く」の3つを挙げています。公式の資料が挙げる入口を、確かめる順に並べます。

ソフトの古さは特に多い入口です。IPAは「構築後にメンテナンスをしていない」サイトには穴が残っていることがあると書き、JPCERT/CCは2016年に、CMS（Joomla!）とPHPの穴を使った改ざんを注意喚起しました。2026年にも、PHPの悪用済みの脆弱性（PHP2shell）やWordPress本体の悪用済みの脆弱性が出ています。自社のバージョンが該当しないか、それぞれの記事で確かめてください。

どのファイルを書き換えられたかも見ます。WordPress.orgは、乗っ取りの種類を問わず書き換えられやすいファイルとして「.htaccess」を挙げ、全ページに影響する「index.php」「header.php」「footer.php」なども見るよう勧めています。警察庁は、決済や入力のフォームに怪しいJavaScriptや見覚えのないURLがないか、サーバー・FTP・SSHのログに怪しい接続がないかを確かめるよう案内しています。実際に、8月には自動車用品メーカーのサイトの一部ページが書き換えられ、偽の確認画面が出た例がありました。

05制作会社・サーバー会社に任せている場合に確かめること

JPCERT/CCは、管理を委託している場合は委託先にも確認を頼むよう書いています。次のことを聞いてください。

• 誰がどのアカウントを持っているか：管理画面、FTP、サーバーの管理画面、データベースのアカウントと、その持ち主。制作会社が使い終わったアカウントが残っていないか。IPAは開発・テスト用のアカウントの消し忘れに注意するよう書いています。
• 使っているソフトとバージョン：IPAは、使っているソフトの名前とバージョンを控えておくよう勧めています。
• いちばん新しい「きれいな」バックアップはいつか：乗っ取られる前のものがあるかどうかで、立て直し方が変わります（次の節）。
• ログが残っているか：サーバーのアクセスの記録、FTPの記録が何日分残るか。
• 更新や見張りは契約に入っているか：IPAは、委託先と約束したセキュリティの内容は文書にして残すよう勧めています。

サーバー会社には、ほかに被害がないか、サーバー側の記録はあるか、メンテナンス表示の出し方を聞きます。

ノーコードのサイト作成サービスを使っている場合は、サービス側の事故も確かめます。10月にはサイト作成サービスStudioの不正アクセスがありました。

06再開までの流れ：直す・作り直す・確かめる

Googleのweb.devは、手元のバックアップの状態で立て直し方を分けています。

1. 乗っ取られる前の新しいバックアップがある：それで戻し、OS・CMS・プラグインなどを最新にし、使っていないものを消し、穴をふさいで、全部のパスワードを変えます。
2. きれいだが古いバックアップしかない：古いもので戻して更新し、乗っ取られた後のコピーと見比べて、きれいな新しいファイルだけを移します。
3. バックアップがない：乗っ取られた状態を丸ごと保存したうえで、コピーの上で悪いファイルを一つずつ取り除き、データベースも確かめます。専門家に頼むことが多い場面です。

web.devは、上書きの更新ではなく、OSやソフトをまっさらな状態から入れ直すよう勧めています。悪いファイルが一つでも残ると、また入られるからです。WordPress.orgも、管理画面の「再インストール」機能ではなくFTP（SFTP）で入れ直すよう書いています。その機能は今あるファイルを上書きするだけで、攻撃者が足した新しいファイルは残るためです。WordPressでは「wp-admin」「wp-includes」は入れ替えてよく、テーマやプラグインのある「wp-content」は慎重に見るよう案内しています。

直したら、再開前に確かめます。JPCERT/CCは第三者によるセキュリティ診断を、IPAは定期的な脆弱性診断を勧めています（脆弱性診断のサービス）。web.devは、穴の元を直したか、今後の保守の計画があるかを確かめてから公開に戻すよう書いています。

07Googleの警告を外す：Search Consoleで審査をリクエスト

Googleに危ないサイトと判断されていると、直しても警告がしばらく残ります。外すには、Search Console（Googleが無料で出しているサイト管理の道具）で審査を頼みます。

1. 「セキュリティの問題」を見る：Search Consoleのこのレポートに、ハッキングされたコンテンツ、マルウェア、だましのページなどの問題が表示されます。表示されるURLは全部ではなく一部の例です。
2. サイト全体を直す：Googleは、例に出たページだけでなくサイト全体で、表示された問題を全部直すよう書いています。
3. 審査をリクエストする：問題の説明、行った修正、修正の結果の3つを書きます。web.devは、所有者の確認が済んでいること、検索ロボットが読めること（noindexなどで止めていないこと）も前提に挙げています。
4. 結果を待つ：進み具合はメールで届きます。結果が出るまで送り直さないでください。

かかる期間は、Search Consoleヘルプでは多くの場合「数日から数週間」です。web.devは、スパムを伴うハッキングは最大で数週間、マルウェアは数日、フィッシングは約1日とし、問題なしと判断されれば72時間以内にブラウザや検索結果から警告が外れるとしています。直しきらずに頼むと期間が延び、「違反を繰り返すサイト」とみなされるおそれもあります。攻撃者が作ったページは、404（ページがない）を返すようにしたうえで、Search Consoleの削除ツールで検索結果から外せます（web.dev）。

08お客様への知らせ方と、個人情報が漏れたかもしれないとき

IPAは、個人情報などが漏れた可能性がある場合は、本人や取引先に連絡するよう書いています。サイトに問い合わせフォームや会員の登録がある会社は、特に注意が必要です。

個人情報が漏れたかもしれないとき：個人情報保護委員会は、不正アクセスなど「不正の目的で行われたおそれがある行為」による漏えい（おそれを含む）を、委員会への報告が義務になる場合の一つとしています。人数が少なくても当てはまります。期限は、速報が発覚から3〜5日以内が目安、確報は不正の目的のおそれがある場合は60日以内です。民間事業者は委員会の漏えい等報告フォームから報告します。くわしくは個人情報保護委員会の用語ページと個人情報保護法の用語ページで説明しています。

本人への通知：個人情報保護委員会のガイドラインは、状況に応じて速やかに、本人に直接伝わる方法（郵送やメールなど）で知らせるとしています。伝えるのは、概要、漏れた項目、原因、二次被害の有無、参考になることです。連絡先が分からないときは、公表や問い合わせ窓口の設置で代えられます。制作会社などに委託していた場合、委託元と委託先の両方が報告の対象になりうるともしています。

サイトを見たお客様へ：個人情報が絡まなくても、訪れた人がウイルスに感染したり、偽の画面で操作をさせられたりした可能性があるなら、サイトで知らせます。上の通知の項目にならい、いつからいつまで、何が起きたか、訪れた人がやるべきこと、問い合わせ先を書きます。8月のSPOON SPORTSの例では、改ざんがあった期間と、偽の画面で操作をした人がやるべきことが案内されました。

09乗っ取りは何の罪になる？不正アクセス禁止法などの罪名

他人のサイトを乗っ取り、書き換える行為は、法律で罰せられます。条文はe-Gov法令検索で確かめました（今の条文では、刑の名前は「拘禁刑」です）。

警察庁は、不正アクセスを「他人のIDやパスワードを使ってサービスを悪用したり、不正にコンピュータに侵入したりする犯罪」と説明しています。どの罪に当たるかは捜査と裁判で決まります。被害届は最寄りの警察署へ。警察庁は、残したログを持参し、前もって電話で日時や持ち物を相談するよう案内しています。

10二度とやられないための再発防止策

公式の資料が挙げる対策から、続けやすいものを選びました。サイトを守る考え方の全体はWebサイトへの攻撃の悩みのページにあります。

• 更新を止めない：OS・CMS・プラグイン・PHPを最新に保ちます（警察庁・JPCERT/CC）。WordPressは3.7から自動更新が使えます。使っていないプラグインは消します（WordPress.org）。
• 入口を固める：推測されにくく使い回さないパスワード、2段階の認証（多要素認証）、暗号化されないFTPではなくSFTPを使います（WordPress.org）。JPCERT/CCは、サイトを更新できるパソコンや場所を限るよう勧めています。
• WAFで攻撃を止める：WAFは、サイトへの攻撃の通信を見分けて止める仕組みです。警察庁・IPA・JPCERT/CCが挙げています（WAFのサービス）。
• 定期的に診断を受ける：IPAは定期的な脆弱性診断やセキュリティ監査を勧めています（脆弱性診断のサービス）。
• バックアップと改ざんの検知：警察庁は、定期的にバックアップを取り、公開中の中身と見比べて不正なファイルを見つける方法を挙げています。WordPress.orgもデータベースを含む定期バックアップと、ファイルの変更を見張る仕組みを勧めています（バックアップの用語ページ）。
• ログを残して見る：IPAは、ログを保管して定期的に確かめるよう書いています。不要になったページも閉じます。

11困ったときの相談先

• JPCERT/CC（インシデント報告）：「改ざんされたサイトへの対応依頼」を受け付けています。報告はWebフォーム（https://form.jpcert.or.jp/）か、メール（info@jpcert.or.jp）で、電話では原則受け付けていません。犯人の特定や捜査の依頼は対象外です。IPAも、改ざんを見つけたらJPCERT/CCに連絡するよう案内しています。
• 警察（サイバー犯罪相談窓口）：都道府県警察の窓口や最寄りの警察署に相談できます。警察庁のサイト（https://www.npa.go.jp/bureau/cyber/soudan.html）から、窓口の一覧と、e-Gov電子申請での通報・相談の受付に進めます。
• IPA：「情報セキュリティ安心相談窓口」（03-5978-7509、平日10時〜17時）は、ウイルスや不正アクセスの一般的な技術相談の窓口です。主に個人向けで、企業・組織には別の案内があります。不正アクセスを受けた場合の届出もIPAが受け付けています。
• 個人情報保護委員会：個人情報が漏れたおそれがあるときの報告先です（前の節）。
• サーバー会社・制作会社：公開の停止、ログの取り出し、入れ直しの相談先です。自社で手に負えないときは、事故対応の専門会社に原因の調査と復旧を頼む方法もあります。

12よくある質問