セキュリティの手引き
ホームページが改ざんされたら｜最初にやることと復旧の順番
公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太
結論：まず①画面と時刻を記録する ②公開を止める ③制作会社とサーバー会社に連絡し、ログを残してもらう。そのあと、別のパソコンからパスワードを全部変え、きれいな状態に戻し、入口をふさいでから公開します。すぐに上書きして元に戻すと、原因が分からず、同じ入口からまた書き換えられます。
改ざんからの復旧の順番- 1記録する画面・時刻
- 2公開を止める
- 3鍵を替える別のパソコンから
- 4きれいに戻す
- 5入口をふさいで公開
今日やること：記録して、止めて、連絡する
知らないページが出る、検索結果に見覚えのない言葉が並ぶ、別のサイトへ飛ばされる。気づいたら、その画面をスマホで撮り、URLと時刻をメモします。WordPressの公式資料も、最初に「何を、いつ見たか」を記録するよう勧めています。
最初に記録すること- おかしな画面の写真とURL
- 気づいた時刻
- 最近の変更（プラグイン追加など）
- 気づいたきっかけ
次に、公開を止めます。メンテナンス中の表示に切り替えるか、サーバー会社の管理画面でサイトを止めます。訪れた人に被害を広げないためです。やり方が分からなければ、制作会社かサーバー会社に電話で頼みます。
気づいた直後
サーバー会社には「アクセスの記録（ログ）を消さずに残してほしい」と伝えます。書き換えられた状態のサイトの丸ごとの写し（ファイルとデータベース）も取っておきます。作業に失敗したときの戻り先にもなります。
消さずに残しておくもの1アクセスのログサーバー会社に頼む
2サイトの写しファイルとデータベース
戻す前に：鍵を全部替える
パスワードの変更は、ふだん使っているパソコンではなく、別のパソコンから行います。サイトを管理しているパソコン自体がウイルスに感染していることもあるためです。
変えるパスワード1サイトの管理画面全員分
2FTP・SFTP
3サーバーの管理画面
4データベース
きれいに戻したあと、もう一度変える
WordPressの公式資料は、管理画面、FTP・SFTP、サーバーの管理画面、データベースのパスワードを、管理者だけでなく関わる全員分変えるよう勧めています。きれいに戻したあとに、もう一度変えることも求めています。
パスワードは2回変える- 1回目気づいたとき別のパソコンから
- 2回目きれいに戻したあと関わる全員分
きれいに戻す：WordPressとEC-CUBEで違うところ
バックアップがあれば、書き換えられる前のものから戻すのが近道です。ただし、いつ書き換えられたかが分からないと、戻した先にも仕掛けが残っていることがあります。
| 確かめる所 | WordPress | EC-CUBEなどのネットショップ |
|---|
| 知らない利用者 | 管理者の一覧に、覚えのない人がいないか | 管理画面に入れる人の一覧に、覚えのない人がいないか |
| 本体・部品 | 本体と同じ版を入れ直し、そのあと最新に更新。プラグインとテーマも | 本体とプラグインを最新に。制作会社と相談して進める |
| 書き換えられやすい所 | .htaccess、index.php、テーマの header.php・footer.php・functions.php | 注文・決済の画面。入力内容を外へ送る仕掛けがないか |
| そのあと | WordPressの点検の手順で守りを固める | 決済画面が書き換えられていたら、カード情報の漏えいを疑う |
ネットショップでは、決済の画面を書き換えて、入力されたカード番号を外へ送り続ける手口が確認されています。その場合の動き方はカード会社から「情報漏洩の懸念」と連絡が来たらにまとめています。
ネットショップの分かれ道注文・決済の画面が書き換えられていた？
はい・分からないカード情報の漏えいとして動く
いいえこの記事の順番で復旧
サイトを管理しているパソコンでも、ウイルスチェックをします。WordPressの公式資料は、手元のパソコンに入ったウイルスが、FTPや管理画面のログイン情報を盗むことがあるとしています。
手元のパソコンも点検する手元のパソコンウイルスが入る
その結果ログイン情報を盗まれる
公開を戻したあと：検索の警告と届け出
Googleのサーチコンソールの「セキュリティの問題」に警告が出ていたら、全部直してから「審査をリクエスト」します。何が起きて、何をして、どうなったかの3点を書きます（画面の名前は変わることがあります）。審査にかかる目安は、下の図のとおりです。
Googleの審査にかかる目安- 約1日フィッシング
- 数日マルウェア
- 最長数週間スパムによるハッキング
- 72時間以内警告が消えるきれいと判断されたら
結果が出る前に同じリクエストを何度も送ると、審査が長引くことがあります。待っている間に、届け出を進めます。
- JPCERT/CC：「インシデント対応依頼」で、改ざんされたサイトへの対応を受け付けています。
- IPA：不正アクセスの届出。分かっている範囲の記入でよいとされています。
- 警察：都道府県警察のサイバー犯罪相談窓口へ。
届け出・相談の先1JPCERT/CCインシデント対応依頼
2IPA不正アクセスの届出
3警察サイバー犯罪相談窓口
4個人情報保護委員会フォームの情報が漏れたら
お問い合わせや会員登録のフォームで集めた個人情報が漏れたおそれがあれば、個人情報保護委員会への報告が要ることがあります。漏えいの報告の手引きで確かめ、迷うときは弁護士に相談してください。
【お知らせ】当社ホームページの一時停止について
○月○日○時ごろ、当社ホームページの一部が第三者により書き換えられていることを確認しました。
現在、ホームページの公開を停止し、原因と影響の範囲を調べています。
○月○日から○月○日の間に当社ホームページをご覧になり、
見覚えのない画面や、ほかのサイトへの移動があった方は、
入力した情報があれば、下記までお知らせください。
分かったことは、このページでお知らせします。
お問い合わせ：電話 ○○-○○○○-○○○○（受付 平日○時〜○時）
分かっていないことを、分かったように書かないでください。実態と違う内容を、ひな形のまま写さないことが大切です。
よくある質問
表示はもう元に戻っています。何もしなくていいですか？
見た目が戻っていても、入口がふさがれていなければ、また書き換えられることがあります。パスワードの変更と、本体・プラグインの更新までは済ませてください。
制作会社と連絡がつきません。どうすればいいですか？
サーバー会社に連絡して公開を止め、ログを残してもらいます。サーバーの契約者が自社かどうかも、この機会に確かめてください。
参考にした資料
- WordPress.org「FAQ My site was hacked」
- Search Console ヘルプ「セキュリティの問題レポート」
- web.dev「審査を申請する」
- JPCERT/CC「インシデント対応依頼」
- IPA「コンピュータウイルス・不正アクセスに関する届出について」
- クレジット取引セキュリティ対策協議会「EC加盟店におけるセキュリティ対策 導入ガイド」（2.1版、2026年3月）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」