取引先から「御社のサイトを開くと別のサイトに飛ばされる」と連絡が来た。自社名で検索すると、身に覚えのない外国語や通販のページが並んでいる。WordPress にログインしようとしたら、パスワードが通らない。ホームページの改ざんや乗っ取りは、こうした形で突然見つかります。
結論から言うと、改ざんや乗っ取りに気づいたら、まず状況とログを記録して証拠を残し、被害の拡大を止め、安全な端末からパスワードを変え、原因を取り除いてから侵入前の状態に戻します。慌ててファイルを消したりバックアップで上書きしたりすると、入口が分からないまま再び改ざんされることがあります。
この記事では、最初の24時間の行動表、公開を止めるかどうかの判断基準、証拠の残し方、復旧方法の比べ方、関係先への連絡と再発防止を、IPA（情報処理推進機構）・JPCERT/CC・個人情報保護委員会の公開情報とエックスサーバーのマニュアルにもとづいて、2026年10月時点の情報で解説します。企業サイトが受けやすい脅威の全体像と平時の体制づくりはWebサイトのセキュリティ対策：企業サイトを狙う7つの脅威と被害時の初動で扱っています。
改ざん・乗っ取りに気づくきっかけと、最初に確かめること
改ざんかどうかは、「訪問者に何が見えているか」「管理画面で何が変わっているか」「サーバー会社や Google から通知が来ているか」の3つの方向から確かめます。
| 症状 | 起きている可能性があること | 最初に見る場所 |
|---|
| 検索結果に身に覚えのないページや外国語の文言が出る | 検索エンジン向けの不正なページを大量に追加されている | Search Console の「セキュリティの問題」、自社ドメインでの検索結果 |
| スマートフォンや検索結果から開いたときだけ別のサイトへ飛ばされる | 条件付きの転送を仕込まれている | 別の端末・回線での表示、サーバーの設定ファイル（専門家が確認） |
| トップページの文言や画像が書き換えられた | ファイルやデータベースの書き換え | 表示の記録、ファイルの更新日時 |
| 管理画面にログインできない、知らない管理者がいる | 管理者アカウントの乗っ取り | ユーザー一覧、管理者メールアドレスの設定 |
| フォームから大量の送信がある、知らないエラーメールが返ってくる | フォームやメール送信機能の悪用 | フォームの送信記録、サーバーの送信状況 |
| サーバー会社から不正アクセスの通知が届いた | 不正なファイルの設置 | 通知メールに書かれたファイルの一覧 |
Google が問題を検出すると、Search Console のセキュリティの問題レポートに「ハッキングされたコンテンツ」「マルウェア」などの内容と例の URL が表示され、検索結果に警告が付いたり、ブラウザに警告のページが出たりします。エックスサーバーでは、不正アクセスを検知すると「不正なアクセスの検知および制限の実施について」という件名で、不正なプログラムと思われるファイルの一覧を記載したメールを送ると不正アクセスについてのマニュアルで案内しています。同じマニュアルは、一覧にないファイルも不正なものである可能性があるため、利用者自身でも全体を確かめるよう求めています。
確かめるときは、改ざんされたページを、ふだん業務で使うパソコンのブラウザで何度も開かないようにします。訪問者の端末にウイルスを入れようとする改ざんもあるためです。
最初の24時間でやることの行動表
最初の24時間は「記録する → 拡大を止める → パスワードを変える → 範囲と原因を調べる → 復旧の方法と連絡を決める」の順に進めます。
IPA の中小企業のためのセキュリティインシデント対応の手引きも、検知と報告、体制の立ち上げ、初動対応、調査、証拠の保全、復旧、再発防止、公表・報告という流れで対応を整理しています。次の表は、ホームページの改ざんに当てはめた時間の目安です。
| 時間の目安 | やること | 担当の例 |
|---|
| 気づいてすぐ（1時間以内） | 日時・URL・画面を記録し、社内の責任者に報告する。保守会社・制作会社とサーバー会社に連絡する | 気づいた人、社内の窓口担当 |
| 3時間以内 | 公開を止めるかを判断し、必要ならアクセス制限やメンテナンス表示に切り替える。ログとファイルの控えを取る | 経営者（判断）、保守会社 |
| 6時間以内 | 安全な端末から各種パスワードを変え、知らないアカウントを記録してから削除・停止する | 社内の窓口担当、保守会社 |
| 12時間以内 | 改ざんされた範囲（ファイル・ページ・データベース・フォーム）と、いつから起きていたかを調べる | 保守会社、専門業者 |
| 24時間以内 | 原因の候補を絞り、復旧の方法を決める。個人情報が漏れたおそれがあるかを判断し、取引先や公的機関への連絡を準備する | 経営者、保守会社 |
| 翌日以降 | 復旧、再発防止、Search Console への審査のリクエスト、監視の強化 | 保守会社、社内 |
時間は目安です。社内に判断できる人がいない時間帯に見つかることもあるため、「だれに連絡し、だれが公開の停止を決めるか」を平時に決めておくと、最初の1時間で迷わずに済みます。
Service
運用保守・集客改善のご相談はフェニックスデザインへナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。
公開を止めるかどうかの判断基準
訪問者に被害が及ぶおそれがあるとき（不正なサイトへの転送、ウイルスの配布、入力内容の抜き取り）は、原因が分かる前でも公開を止めます。
前述の IPA の手引きも、被害が広がるおそれがある場合や、Webサイトの安全性が確認できない場合には、システムの停止を検討するとしています。
| 状態 | 判断の目安 | 止め方・対処の例 |
|---|
| 訪問者が不正なサイトへ飛ばされる、ウイルスやフィッシングの画面が出る | すぐに止める | アクセス制限、メンテナンス表示 |
| フォームの入力内容が外部に送られている疑いがある | フォームをすぐに止める | フォームを停止し、メールなど別の連絡方法を案内する |
| トップページの書き換えなど、見た目の改ざん | 原因が分かるまで止めることを検討する | メンテナンス表示 |
| 検索結果に不正なページが出るが、通常のページは正常に見える | 止めずに対処する判断もありうる。早めに専門家と相談する | 不正なページとファイルの特定・削除を急ぐ |
| 管理者アカウントを乗っ取られ、ログインできない | サイトの表示の状態に合わせて判断する | サーバー会社の機能でパスワードを再設定する |
エックスサーバーでは、サーバーパネルのアクセス制限（BASIC認証）で、IDとパスワードを知っている人だけがサイトを見られる状態にできます。外部からは見えなくなりますが、社内や保守会社は確認を続けられます。止めている間は、取引先や応募者が連絡に困らないよう、メールアドレスなど別の窓口を案内します。
証拠を残す：消す前に控えるもの
不正なファイルを消したりバックアップから戻したりする前に、ログ・ファイル・データベースの控えを取ると、原因の特定と関係先への説明に使えます。
前述の IPA の手引きは、不用意な操作でシステムに残った記録を消さないよう注意しています。控えておくものは次のとおりです。
- 画面の記録：改ざんされたページの URL、表示のスクリーンショット、気づいた日時と経緯（だれから連絡が来たか）
- サーバーのログ：アクセスログとエラーログ。エックスサーバーでは、サーバーパネルでアクセスログは過去30日分、エラーログは過去7日分を日別に取得でき、それより古いログは「ユーザー領域への保存設定」をしていた場合に残ります。期間を過ぎると取れなくなるため、最初にダウンロードします
- ファイルとデータベース：復旧の作業で上書きされる前の、現在の状態の控え
- アカウント：管理者ユーザーの一覧、FTP アカウントの一覧、ログイン履歴（記録するプラグインがあれば）
- 通知：サーバー会社や Google からのメール、Search Console の画面
- 対応の記録：だれが、いつ、何をしたかの時系列のメモ
エックスサーバーの自動バックアップからの復元では、対象のデータが上書きされ、バックアップの日付より後に作られたファイルは削除されます。復元は、控えを取ってから行います。
パスワードとアカウントの見直し
パスワードは、ウイルスに感染していないことを確かめた端末から、サイトにかかわるすべての管理画面で変えます。
エックスサーバーのマニュアルでも、最初に使っている端末をセキュリティソフトなどで確かめ、XServerアカウント・サーバーパネル・WordPress などの管理パスワードを変え、身に覚えのないユーザーを削除し、悪用されたおそれのある FTP アカウントのパスワードを変えるか削除するよう案内しています。
| 対象 | 変えること・確かめること |
|---|
| サーバー会社のアカウント・管理パネル | パスワード、二段階認証、登録メールアドレス |
| WordPress の管理画面 | 全管理者のパスワード、知らないユーザー（記録してから削除）、管理者メールアドレス |
| FTP・SSH | パスワード、使っていないアカウントの削除 |
| データベース | パスワード（WordPress の設定ファイルの変更を伴うため専門家に任せる） |
| ドメイン・DNS の管理画面 | パスワード、ネームサーバーや DNS の設定が書き換えられていないか |
| Search Console・GA4 | 知らないユーザーや所有者が追加されていないか |
| 管理用のメールアドレス | パスワードの再設定の通知を受けるメールのパスワード |
パスワードを変えても、不正なファイル（再侵入のための仕掛け）が残っていれば、また入られます。パスワードの変更は原因の除去とあわせて行い、復旧が終わったらもう一度変えると安心です。
原因を特定して復旧する方法の比べ方
復旧の方法は、侵入の原因と時期が分かっているかどうかで選び、原因を取り除かないまま元に戻すことは避けます。
中小企業のサイトで多い入口は、更新されていないプラグイン・テーマ・本体の脆弱性、使い回しや推測しやすいパスワード、退職者や以前の制作会社のアカウント、FTP の接続情報の流出、同じサーバー契約の中に残った古いサイトやテスト環境です。
| 復旧の方法 | 向いている場合 | 注意点 |
|---|
| 侵入前のバックアップから戻す | 侵入の時期が分かり、その前のバックアップがある | サーバーの自動バックアップの保持期間（エックスサーバーは14日分）より前から侵入されていると戻せない。戻したあとに入口の脆弱性を直す |
| 本体・プラグイン・テーマを入れ直し、記事などのデータだけを戻す | 侵入の時期が分からない、バックアップが信用できない | データベースに不正な文字列が残っていないかの確認が必要。時間がかかる |
| サーバー会社の復旧機能を使う | エックスサーバーのWordPressリカバリーの「不正アクセスを受けたWordPressの復旧」など | 不正なファイルの除去と本体のリセットを行うが、マニュアルは完全な復旧を保証しないとしている |
| 作り直す | 長く更新されておらず、プラグインやテーマも古い | 費用と期間はかかるが、古い仕組みを残さずに済む |
エックスサーバーのマニュアルは、戻すデータが改ざんされていないことを手元の元データとの比較やセキュリティソフトで確かめること、通知メールの日時が実際の発生日時とは限らないため戻す日付を自分で精査することを求め、根本の原因を解決しないまま戻すと再発の可能性が高いとしています。
Search Console に警告が出ていた場合は、すべてのページで問題を直してから、レポートで審査をリクエストします。Google のヘルプでは、一部のページだけ直しても検索結果は変わらないこと、多くの審査に数日から数週間かかることが説明されています。
関係先への連絡と、個人情報の報告
連絡は、分かっていることと分かっていないことを分けて、保守会社・サーバー会社、公的な相談先、取引先や利用者の順に行います。
| 連絡先 | 連絡するとき | 主な内容 |
|---|
| 保守会社・制作会社、サーバー会社 | 気づいてすぐ | 気づいた日時、症状、URL、直前の更新作業、届いた通知 |
| IPA 不正アクセス特別相談窓口 | 被害を受けている、またはその可能性があり、対応に迷うとき | 事業者向けの窓口（IPAが2026年10月16日に案内を公開）。被害の可能性と応急処置の助言、専門業者の一覧の紹介（電話・メール） |
| JPCERT/CC インシデント対応依頼 | 改ざんされたサイトへの対応や、初動の支援が必要なとき | Web フォームかメールで依頼する。原則として電話では受け付けていない |
| 警察（サイバー事案に関する相談窓口） | 犯罪として通報・相談したいとき | 全国共通のオンライン受付と都道府県警察の窓口 |
| 個人情報保護委員会（漏えい等の報告） | 個人データの漏えいや、そのおそれがあるとき | 速報は発覚日から3〜5日以内、確報は30日以内（不正な目的によるおそれがある場合は60日以内） |
| 取引先・応募者・顧客 | 影響が及ぶおそれがあるとき | 起きたこと、影響、問い合わせ先、次の報告の予定 |
個人情報保護委員会は、不正な目的で行われたおそれがある漏えいを報告の対象とし、例として「ウェブサイトが改ざんされ、ユーザーが入力した個人情報が第三者に送信された場合」を挙げています。問い合わせフォームや採用応募フォームの入力内容が抜き取られた可能性があるときは、漏えいが確定していなくても報告が必要かを確かめます。
お知らせ文の例
公開を止めたときは、サイトや取引先へのメールで短く知らせます。例：「当社ホームページの一部で第三者による不正な書き換えを確認したため、10月○日○時から公開を停止しています。お問い合わせは○○宛てにメールでご連絡ください。原因と影響を調査しており、分かり次第お知らせします。」分かっていないことを推測で書かず、個人情報への影響が未確認なら「調査中」と書き、続報の時期を示します。
再発を防ぐ：復旧後1か月でやること
復旧後は、侵入の入口をふさぐ対策と、次に起きたときに早く気づく仕組みを1か月以内にそろえます。
- 本体・プラグイン・テーマ・PHP を更新し、使っていないプラグイン・テーマ・古いサイトを削除する
- 管理者を絞り、二要素認証を設定する
- WAF とログイン試行回数の制限を有効にする（WAF の役割と限界はWAFとは：中小企業のサイトに必要かで解説しています）
- バックアップをサーバーの外にも、14日より長く保管する（サーバーのバックアップと復元）
- 改ざん検知や脆弱性診断で、異常を早く知る
改ざんに早く気づく仕組みの一つに、エックスサーバー株式会社のXServer サイトセキュリティがあります。URL を登録すると、脆弱性診断（WordPress・XSS・SQLインジェクション・SSL証明書）と Web改ざん検知（改ざん・マルウェア・フィッシングサイト・ブラックリスト登録）を定期的に行い、問題があればメールで知らせるサービスで、エックスサーバー以外のサーバーで運用しているサイトにも使えます。攻撃を止める WAF ではなく、診断と検知のサービスです。料金はエントリー（1ページ）が月額250円〜（税込。12か月契約の場合で、1か月契約は月額280円）です（2026年10月時点）。また2026年10月13日のお知らせでは、エックスサーバーのプレミアム・ビジネスプランと XServerビジネスの全プランで1サーバーにつき1サイトまで無料で使えるようになったとしています。無料の提供は自動では有効にならず、サーバーパネルで設定が必要で、エックスサーバーのスタンダードプランは対象外です。
よくあるご質問
改ざんに気づいたら、すぐに不正なファイルを削除してよいですか？
先にログとファイルの控えを取ってから削除します。すぐに消すと、侵入の入口や時期を調べる手がかりがなくなります。ただし、訪問者が不正なサイトへ飛ばされるなど被害が出ている場合は、削除より先にアクセス制限などで公開を止めます。
サーバーの自動バックアップがあれば、自社だけで復旧できますか？
侵入の時期が分かり、それより前のバックアップが残っていれば戻すことはできますが、入口になった脆弱性や漏れたパスワードは残ります。戻す日付の選び方と原因の除去は、保守会社などの専門家と一緒に進めることをおすすめします。
個人情報が漏れたかどうか分からない場合も、報告が必要ですか？
個人情報保護委員会の報告の対象には、漏えいの「おそれ」がある場合も含まれます。フォームの入力内容が外部に送られた可能性があるなど、不正な目的によるおそれがあるときは、委員会のページで要件を確かめ、判断に迷う場合は前述の相談窓口に相談します。
エックスサーバーから「不正なアクセスの検知および制限の実施について」というメールが届きました。何をすればよいですか？
メールに書かれたファイルの一覧を控え、マニュアルの順に、端末の確認、不正なファイルの削除、改ざんされていないデータでの復旧、管理パスワードの変更、FTP アカウントの見直しを行います。一覧にないファイルが不正な場合もあるため、サイト全体を確かめます。
制作会社と連絡が取れず、サーバーの管理情報も分かりません。
まずサーバーとドメインの契約者（名義）が自社かどうかを確かめ、契約者からサーバー会社に連絡します。名義と管理情報の引き継ぎ方はホームページの制作会社を変更・移管する手順で解説しています。
まとめ
ホームページの改ざんや WordPress の乗っ取りに気づいたら、記録とログの控えを最初に取り、訪問者に被害が及ぶおそれがあれば公開を止め、安全な端末からすべての管理画面のパスワードを変えます。そのうえで改ざんの範囲と入口を調べ、侵入前のバックアップや入れ直しで復旧し、個人情報の報告や取引先への連絡が必要かを判断します。復旧後は更新・二要素認証・WAF・バックアップの保管・改ざん検知をそろえ、同じ入口から再び入られるリスクを下げます。
当社のWEBサイト運用保守では、保守ライト（月2万円〜・税別）で WordPress の更新、週次バックアップと復元、稼働監視（停止・改ざんの検知）、障害時の一次対応を行い、契約中のサイトが改ざんされた場合はバックアップからの復元と原因調査を行います。スポットでの診断・修正や、他社で制作したサイトの引き継ぎもご相談いただけます。
関連記事：会社のサーバー・ドメイン・セキュリティの基礎（まとめ）／WordPressのセキュリティ対策チェックリスト／サーバーのバックアップと復元／WordPressを更新しないとどうなるか