サイト改ざんが前の3か月の3倍超に。JPCERT/CCの7〜9月の報告は603件、隠しリンクやカード情報狙いの埋め込みも

01レポートに書かれている数字

Webサイト改ざんは、7月116件、8月194件、9月293件と、月ごとに増えました。レポートの月別の推移の図では、2026年4月46件、5月55件、6月80件で、2025年10月からの1年間で9月が最も多くなっています。

出典：同レポートの表1.2「インシデント件数のカテゴリー別内訳」。報告件数全体は12,932件（前四半期14,056件）、インシデント件数は8,755件（同9,305件）、JPCERT/CCがサイトの管理者などに対応を依頼した調整件数は4,048件（同3,398件）でした。フィッシングサイトが82.0%を占めています。マルウェアサイトは前四半期比48%増、スキャンは39%増、その他は14%増です。

02どんな改ざんだったか

レポートは、次の2つの事例を紹介しています。

• 国内の複数の正規のWebサイトが改ざんされ、海外のオンラインカジノサイトなどへのリンクを含むHTMLが、見えない状態で5,000行以上埋め込まれていました。攻撃者が売り込みたいページを、正規のサイトから参照されているように見せかけ、検索エンジンでの評価を高めようとする不正なSEO行為と考えられる、としています。
• EC-CUBEで構築された国内の複数のECサイトが改ざんされ、C2サーバー（攻撃者が指示を出すサーバー）から取得したコードを実行するJavaScriptが埋め込まれていました。通信にはWebRTCまたはWebSocketが使われていました。訪問者が開いているページが購入画面かどうかを判定する処理も確認され、クレジットカード情報などを盗む目的だった可能性がある、としています。

どちらも、見た目は変わらないことがあります。前者は訪問者に見えないリンクで、後者は購入画面でだけ動く仕組みです。サイトの持ち主が自分で開いても、気づきにくい改ざんです。

03自社サイトを持つ会社への影響

会社のホームページやネットショップを持つ中小企業は、どちらの事例とも無関係ではありません。カジノなどへのリンクを埋め込まれると、検索結果に関係のない文言が出たり、検索エンジンの評価が下がったりするおそれがあります。ECサイトのカード情報を盗まれれば、お客さまに実害が出て、通販の停止や調査の費用につながります。レポートは改ざんの侵入経路までは書いていませんが、同じ四半期に、JPCERT/CCはWebサービスで使われる製品の注意喚起も出しています（Ruby on RailsのActive Storage〈CVE-2026-66066〉、BIツールMetabase〈CVE-2026-72898〉、NetScaler ADC・NetScaler Gateway〈CVE-2026-8452、CVE-2026-88771など〉、F5 BIG-IP Access Policy Manager〈CVE-2026-94127〉など、12件の公開・更新）。

04今すぐやること

1. 自社サイトのページのソースを開き、見覚えのないリンクや、カジノなどの文言が隠れていないか確かめる。検索エンジンで自社のドメインを指定して検索し、関係のないページや文言が出ないかも見る
2. WordPressやEC-CUBEなどのCMSとプラグインを最新にする。使っていないプラグインやテーマは消す
3. 管理画面のパスワードを長く使い回しのないものにし、多要素認証を使う。できれば管理画面に入れる場所（IPアドレス）を絞る
4. ECサイトは、購入画面に知らないJavaScriptが読み込まれていないか、制作会社や保守の会社に点検を頼む
5. 改ざんを見つけたら、サイトを一時的に止め、サーバー会社や制作会社に連絡する。ECサイトでカード情報が盗まれたおそれがあれば、決済代行会社にもすぐ知らせる

05同じことを防ぐには

改ざんは、更新されていないソフトの弱点や、漏れた管理画面のパスワードを入口にされることがあります。定期的な脆弱性診断で弱点を先に見つけること、WAFで既知の攻撃をサイトの手前で止めること、ファイルの変更を検知する仕組みとバックアップを用意しておくことが、被害を小さくします。自社に詳しい担当者がいなければ、保守の契約に更新と点検を含めておくのが現実的です。