ホームページが改ざんされたとき、お客様や取引先に対する責任を負うのは、サイトを運営している自社です。
制作会社・保守会社・サーバー会社の責任は、それぞれ契約書に書かれた範囲までで、契約に無いことは誰もやりません。
この記事では、4者の責任の線引き、個人情報が漏れたときに法律で求められること、契約書で先に決めておく5項目を説明します。
起きてしまった直後の動き方はWordPressが改ざんされたときの初動対応にあります。
読者は発注する側の担当者を想定しています。
法律の細部は専門家に確かめてください。
結論｜対外的な責任は自社、復旧の費用は契約で決まる
訪問者がウイルスに感染した、個人情報が漏れた、取引先に迷惑メールが届いた。
こうした外への被害の責任は、サイトの運営者である自社にあります。
制作会社が作ったサイトであっても、公開後の管理者は自社です。
一方で、復旧の費用を誰が持つかは別の話で、原因と契約の範囲で決まります。
| 原因 | 費用を持つのは | 見るところ |
|---|---|---|
| 納品されたテーマ・プラグインの欠陥（納品時から穴があった） | 制作会社（契約の保証期間内） | 制作契約の「契約不適合責任」「保証」の条項と期間 |
| 更新を放置して穴が開いた | 保守契約があれば保守会社、無ければ自社 | 保守契約の「更新」の対象と頻度 |
| パスワードの漏えい・使い回し | 自社（アカウントの管理者） | 管理者アカウントを誰が持っているか |
| サーバーの基盤（OS・ネットワーク）の問題 | サーバー会社（約款の範囲） | レンタルサーバーの約款の免責条項 |
| 原因が分からない | まず自社が復旧費を出し、原因が分かってから請求を検討 | 復旧の見積もりに「原因調査」が入っているか |
「保守契約があるから全部やってもらえる」は、契約書に復旧が入っている場合だけです。
保守契約の読み方はホームページ保守契約のチェックリストにまとめています。
4者それぞれの責任の範囲
| 当事者 | 通常の責任範囲 | 契約で確かめる条項 | よくある誤解 |
|---|---|---|---|
| 自社（運営者） | サイトの内容、利用者への説明、個人情報の管理、法令上の報告 | — | 作ってもらったのだから制作会社の責任だと思っている |
| 制作会社 | 納品した物の欠陥（保証期間内）。公開後の更新は契約に無ければ対象外 | 保証の期間と範囲、公開後の更新の扱い | 納品後も見てくれていると思っている |
| 保守会社 | 契約に書いた作業（更新・バックアップ・不具合対応など） | 対象、月額内と別料金、復旧の有無、連絡の期限 | 「迅速に対応」の一文で復旧まで入っていると思っている |
| サーバー会社 | サーバー本体の稼働。中身（WordPress・テーマ・プラグイン）は見ない | 約款の免責、バックアップの有無と復元の費用 | サーバーのバックアップで何でも戻せると思っている |
制作と保守が同じ会社でも、契約書は分かれていることが多いです。
両方を見てください。
プラグインの更新が原因だったとき
正規のプラグインの更新に悪いコードが混ざっていた場合（サプライチェーン攻撃）、原因はプラグインの作者や配布元の側にあります。
それでも、訪問者や取引先への説明と対応をするのがサイトの持ち主である点は変わりません。
保守を頼んでいるなら、配布元の告知を追って、汚染された版を入れていないか確かめる作業が契約に含まれるかを確認しておきましょう。
自分で確かめる方法は、姉妹サイトWAZAの「WordPressの改ざんチェック」にまとめています。
個人情報が漏れたときに法律で求められること
問い合わせフォームや会員機能から個人情報が漏れたおそれがあるときは、個人情報保護法で報告が求められる場合があります。
個人情報保護委員会は、報告が必要な事態として次の4つを挙げています。
- 要配慮個人情報（病歴など）が含まれる漏えい
- 不正に利用されると財産的な被害が出るおそれがある漏えい（クレジットカード番号など）
- 不正の目的で行われたおそれがある行為による漏えい（不正アクセス、ランサムウェアなど）
- 本人の数が1,000人を超える漏えい
改ざんや不正アクセスは3番目に当たるので、人数が少なくても対象になります。
期限は、発覚から速報が概ね3〜5日以内、確報が30日以内（不正の目的の場合は60日以内）です。
本人への通知も求められます。
原文と様式は個人情報保護委員会「漏えい等の対応とお役立ち資料」で確かめてください。
報告するのは自社です。
制作会社や保守会社が代わりに報告することはできません。
ただ、原因調査の資料は作ってもらえます。
契約書で先に決めておく5項目
| 項目 | 決めること | 決めていないと起きること |
|---|---|---|
| 1. 更新を誰がやるか | WordPress・テーマ・プラグインの更新の担当と頻度 | 放置が続き、穴が開いても誰のせいでもない状態になる |
| 2. バックアップ | 取る人、世代数、保存先、復元を誰がやるか | 壊れてから「バックアップは無い」と分かる |
| 3. 復旧の費用負担 | 原因別に誰が持つか。原因調査の費用の扱い | 復旧の見積もりでもめて、止まったまま日が過ぎる |
| 4. 連絡の期限 | 異常を見つけたら何時間以内に連絡するか。休日の窓口 | 週末に改ざんされ、月曜まで誰も気づかない |
| 5. 再発防止の範囲 | 復旧のあとに何をするか（原因の修正・パスワード変更・監視） | 同じ穴からもう一度入られる |
当社の保守・運用改善（月額 ¥11,000〜）は、更新・定期バックアップ・不具合対応を月額に含めています。
契約が無い場合のスポット対応は 1時間 ¥5,000〜 です。
他社でも、この5項目を同じ区分で聞くと比べられます。
いま自分のサイトが無事か、無料で確かめる
契約を見直す前に、いまの状態を測っておきます。
URL を入れるだけです。
- 改ざん・スパム汚染チェック：不正なリンクや隠しページの兆候
- WordPressセキュリティ診断：版の公開、ログイン画面、設定ファイルの露出
- セキュリティヘッダー診断：ブラウザー側の防御の設定
結果が悪くても、それだけで保守会社の責任になるわけではありません。
契約の範囲に入っているかを見てから話してください。
つまずきやすい所と対処
| つまずき | 起きること | 対処 |
|---|---|---|
| 契約書が見つからない | 責任の範囲を主張できない。口約束は証明できない | 制作会社・保守会社に写しを依頼する。無ければ今の条件を書面にして双方で持つ |
| 原因が分からないまま復旧を急ぐ | 同じ穴から再び入られる。費用の請求先も決まらない | 復旧の前に証拠（ログ・ファイルの日時）を残し、原因調査を見積もりに入れる |
| 報告を迷って期限を過ぎる | 個人情報保護法の速報の期限（概ね3〜5日）を過ぎる | 漏えいの「おそれ」の段階で速報を出す。確定を待たない |
| サーバー会社に全部頼もうとする | WordPress の中身は対象外と言われて止まる | 中身は制作会社・保守会社かスポット対応へ。サーバー会社には基盤側のログを頼む |
デメリットとして、契約を細かくすると月額や初期費用は上がります。
それでも、起きたときの復旧費と止まる日数のほうが高くつきます。
よくある質問：改ざんの責任
制作会社に損害賠償を求められますか？
納品時からの欠陥で、契約の保証期間内なら対象になることがあります。
公開後の更新放置やパスワードの漏えいが原因なら、難しいです。
原因調査の結果と契約書を持って専門家に相談してください。
保守会社がいるのに改ざんされました。費用は払わなくていいですか？
契約書に復旧が入っているかで決まります。
更新だけの契約なら、復旧は別料金になるのが普通です。
個人情報を集めていなければ報告は不要ですか？
問い合わせフォームの送信内容は個人情報です。
保存していない、漏れた形跡が無いと確認できれば報告の対象になりませんが、確認の記録は残してください。
サーバー会社に責任はありますか？
サーバー本体の問題なら約款の範囲で対応しますが、WordPress の中身の改ざんは対象外が普通です。
まとめ
外への責任は自社、復旧の費用は原因と契約で決まります。
個人情報が漏れたおそれがあれば、発覚から数日のうちに個人情報保護委員会へ速報を出します。
契約書で5項目（更新・バックアップ・復旧費用・連絡期限・再発防止）を決めておけば、起きたときにもめません。
当社を含めて複数の会社に、この5項目を同じ区分で聞いてから決めてください。
