ホームページが改ざんされたら？最初にやるべき対処の手順

WindowsMac更新

ホームページが改ざんされたら、Googleの復旧ガイドが最初に挙げているのは、サーバー会社への連絡です。そのうえで、できればサイトを一時的に止め、サイトにつながるパスワードをすべて変え、作った覚えのない管理者アカウントがないかを確認し、ソフトウェアを更新して、改ざん前のバックアップから戻します。お客様の個人情報や警察への相談は、その後に検討します。この記事は2026年10月23日時点の情報です。

要点

サーバー会社に連絡してサイトを止め、サーバー、管理画面、データベース、FTPのパスワードを変えます。不審な管理者は削除します。PHPとWordPressを更新し、改ざん前のバックアップから戻します。Search Consoleを確認し、個人情報が漏れたおそれがあれば個人情報保護委員会への報告を検討します。

改ざんに気づいたら、最初に何をすればよいですか？

サーバー会社に連絡してください。Googleの復旧ガイドによると、サーバー会社はほかの利用者に被害が広がっていないかを確認でき、復旧を手伝ってくれることもあります。WordPressの「ハッキングされた場合は」のページも、他のサイトへの被害やメールの迷惑メール扱いが起きていないかを、サーバー管理者に確認してもらうよう勧めています。

  1. 見えている異常と、気づいた日時を書き留めます。
  2. サーバー会社に、サイトが改ざんされたことを伝え、どんなバックアップが残っているかを聞きます。
  3. サイトを一時的に公開停止するか、その手伝いを頼みます。
  4. 自分で直せるかを判断します。Googleは、コードを読めてサーバーのコマンド操作ができることが必要だとしています。難しければ、サーバー会社や専門家に頼みます。

サイトを止めるのは、Googleによると、訪問者に有害なファイルが届かないようにするためです。robots.txtで検索エンジンをブロックするだけでは足りません。検索エンジンが止まるだけで、訪問者には届いてしまうからです。IPAもPHPの脆弱性への対応として、すぐに更新できない場合は外部からのアクセスの遮断やサービスの停止を検討するよう勧めています。

どのパスワードを変え、不審なユーザーはどうすればよいですか？

サイトにつながるものは全部です。Googleの復旧ガイドは、FTP、データベース、システム管理者、CMS（WordPressなど）のログイン情報を挙げ、攻撃者がユーザーアカウントを作っていないかも確認するよう求めています。WordPressのページは、cPanelなどのサーバー管理画面も含め、サイトとサーバーにアクセスするすべてのユーザーのパスワードを変えるよう勧めています。

  1. レンタルサーバーの契約アカウントと管理画面のパスワードを変えます。
  2. FTPやSFTPのパスワードを変えます。
  3. データベースのパスワードを変えます。新しいパスワードはwp-config.phpにも反映する必要があります。
  4. WordPressの管理画面で「ユーザー」の一覧を開き、心当たりのないアカウントを記録してから削除します。
  5. 残った管理者アカウントのパスワードをすべて変えます。
  6. サイトがきれいになったら、もう一度すべて変えます。WordPressのページは、安全になった後にも、長く複雑で使い回さないパスワードに変え直すよう勧めています。

WordPressのページは、自分のパソコンをウイルス対策ソフトでスキャンすることも勧めています。攻撃の出どころが持ち主のパソコンであることが多いためです。

バックアップから戻すべきですか？

改ざん前のバックアップがあれば、戻すのが一つの方法です。GoogleのSearch Consoleのヘルプは、最後に正常だったバックアップからの復元を、改ざんされたサイトをきれいにする方法の一つとして挙げています。WordPressのページは、作業の前に、今の改ざんされた状態もバックアップし、被害を受けたものだとわかるように残しておくよう勧めています。

  1. まず、今の状態のバックアップを取ります。
  2. 異常に気づいた日より前に作られたバックアップを選びます。
  3. 自分で復元するか、サーバー会社に依頼します。
  4. サイトを公開し直す前に、すぐにすべてを更新します。バックアップには、攻撃者に使われたかもしれない古いソフトウェアもそのまま入っているからです。

PHPとWordPressの更新は必要ですか？

必要です。PHPの開発元は2026年10月21日に、2件の重大な脆弱性CVE-2026-109618とCVE-2026-109619（通称PHP2Shell）を公表しました。ログインなしでリモートからコードを実行されるおそれがあるものです。PHPのアドバイザリによると修正版は8.5.12、8.4.27、8.3.36、8.2.35で、更新だけが安全な選択肢だとしています。2026年10月23日時点で、QNAPは10月22日のアドバイザリで、PHPに対する悪用の試みが公に報告されていると書いています。

  1. サーバー会社に、サイトのPHPのバージョンと、修正版に更新済みかを確認します。
  2. PHP 8.1以前の場合、PHPの開発元からの修正版はありません。サポート中のバージョンへの移行をサーバー会社に相談します。
  3. WordPressを最新版に更新します。WordPressのページは、古いバージョンは攻撃を受けるリスクを高めるとしています。
  4. テーマとプラグインも更新します。

JPCERT/CCは、修正版に更新するだけでなく、攻撃を受けた形跡がないかを調べるよう勧めています。サーバーのログについて、異常に長いPHPSESSIDのCookie、不審なファイルアップロードのリクエストとその前後のメモリ上限エラーやHTTP 500エラー、PHPのプロセスの異常終了などを確認項目に挙げています。これらはサーバーのログを見られる人向けの内容なので、サーバー会社に確認を頼んでください。JPCERT/CCは、これらが見つからなくても攻撃を受けていないとは言い切れないとし、侵害が疑われる場合はログなどの証拠を残したうえで調査するよう求めています。更新すれば穴はふさがりますが、攻撃者がすでに置いていったものは消えません。

Googleの警告を消すにはどうすればよいですか？

Search Consoleの「セキュリティの問題」レポートには、サイトの改ざんや、フィッシング、マルウェアの配布など、訪問者に危害が及ぶおそれのある問題をGoogleが見つけた場合に、その内容が表示されます。

  1. Search Consoleで「セキュリティの問題」レポートを開きます。
  2. 表示されているURLの例をもとに原因を探し、サイト全体で直します。Googleは、一部のページだけ直しても検索結果は変わらないとしています。
  3. サイトがきれいになり、原因の弱点を直し、公開を再開したら、「審査をリクエスト」を選びます。
  4. 見つけた問題と、行った修正、その結果を書きます。Googleによると、審査には数日から数週間かかり、結果が出るまで再送信しないよう注意しています。

お客様の個人情報が関わるかもしれないときは？

サイトにお客様の名前、メールアドレス、注文情報などの個人データがあり、それが見られたおそれがある場合は、個人情報保護委員会の案内を確認してください。委員会は、委員会への報告と本人への通知が必要になる場合として、次の4つを挙げています。漏えいが確定していなくても、そのおそれがある段階で対象になります。

  • 要配慮個人情報（病歴など）が含まれる場合
  • クレジットカード番号の漏えいのように、財産的被害が生じるおそれがある場合
  • 不正アクセスのように、不正の目的で行われたおそれがある場合
  • 1,000人を超える漏えいの場合

報告と通知の期限は次のとおりです。

  1. 委員会への報告は、まず速報を、発覚から概ね3日から5日以内に行います。
  2. その後の確報は発覚から30日以内、不正の目的で行われたおそれがある場合は60日以内です。
  3. 本人への通知は、状況に応じて速やかに行います。直接の通知が難しい場合は、ホームページでの公表や問い合わせ窓口の設置といった代わりの方法も認められています。

報告は個人情報保護委員会のウェブサイトのフォームから行えます。業種によっては報告先が別の省庁になるので、委員会の案内で確認してください。

よくある質問

警察に相談したほうがよいですか？

警察庁の「サイバー事案に関する相談窓口」のページは、都道府県警察のサイバー犯罪相談窓口を案内しています。e-Gov電子申請から通報や相談をオンラインで送ることもでき、被害届を出す場合は最寄りの警察署に連絡します。

自分のサイトがPHP2Shellの影響を受けているか知るには？

PHPで動いていてウェブページを表示しているサイトは、修正版に更新するまで対象です。確認する場所はPHPのバージョンを確認する方法で説明しています。

バックアップを戻せば終わりですか？

バックアップで攻撃者が追加したものは消せますが、攻撃に使われた弱点は残ります。WordPressのページは、きれいになった後にソフトウェアを更新し、パスワードを変え直すよう勧めています。Googleも、弱点を直してから審査をリクエストするよう求めています。手順はWordPressのPHPを更新する方法にあります。

改ざんされているかどうかは、どう見分けますか？

WordPressのページは、テーマファイルに見覚えのないリンクやiframeが入っている、不審なスクリプトが埋め込まれている、ファイルが消えたり増えたりしている、といった例を挙げています。真っ白な画面になる、アダルトサイトに転送される、広告で埋め尽くされるといった状態も紹介されています。

無料で相談できる場所はありますか？

IPAの「情報セキュリティ安心相談窓口」は、個人向けにウイルスや不正アクセスについての技術的な相談を受けています。電話は03-5978-7509で、受付は平日の10時00分から17時00分です（土日祝日、年末年始を除く）。WordPressについては、WordPress.orgのフォーラムで「Hacked」や「Malware」のタグを使って相談できます。

出典