身に覚えのないページや転送、危険なサイトという警告が出たら、改ざんを疑って確認します。
ただし、表示の遅さやブラウザの警告だけでは原因を断定できません。
警告の内容・対象URL・発見日時を記録し、サーバー会社や保守担当へ連絡してください。
慌ててファイルを削除したり、古いバックアップで上書きしたりすると、原因調査に必要な情報を失うおそれがあります。
被害の拡大を止める対応と、ログ・現状の保全を並行して進めます。
この記事では、発見直後に着手する作業と、復旧後の確認を整理します。
「最初の30分」は初動の目安であり、全データの保全や復旧が30分で終わるという意味ではありません。
この記事で分かること
- 改ざんに気づくサインと、確認方法
- 最初の30分にやるべきこと（状況に応じて並行対応）
- やってはいけない対応
- 復旧の流れと、再発を防ぐ設定
改ざんのサイン
| 症状 | 示唆されること |
|---|---|
| 身に覚えのないページが表示される | スパムページの大量生成 |
| 検索結果に無関係な語句が出る | SEOスパムの埋め込み |
| ブラウザが警告を出す | 警告の種類を確認。証明書など別原因もある |
| 知らない管理者アカウントがある | 正規の追加か、作成履歴と権限を確認 |
| サイトが急に重い | 負荷・障害・不正処理などを切り分ける |
| スマートフォンだけ別サイトに転送される | 条件付きリダイレクトの埋め込み |
| Search Consoleから警告メールが届いた | メールだけで判断せずSearch Consoleのレポートを確認 |
端末や参照元によって表示が変わる場合があります。
すでに得られた画面や転送先の記録を担当者へ渡し、調査のために危険なページを繰り返し開いたり、ファイルをダウンロードしたりしないでください。
最初の30分にやること
訪問者への被害や情報流出が続くおそれがある場合、全ファイルの保存完了を待たずにアクセス制限を優先します。
担当者を決め、サーバー会社へ隔離とログ保全を同時に依頼してください。
1｜証拠を残す（消す前に記録する）
削除・更新・復元の前に、可能な範囲で現状を保全します。
取得方法が不明な場合は、サーバー会社にスナップショットやログの保全を依頼してください。
- 改ざんされた画面のスクリーンショット
- サーバー会社と、ファイル・設定の隔離保管またはスナップショット取得を調整
- データベースのエクスポート
- アクセスログ・エラーログの取得（古いログから消えるため急ぐ）
- 異常に気づいた日時と、症状のメモ
保全データには不正プログラムや個人情報が含まれる可能性があります。
通常の作業フォルダーや公開領域へ展開せず、実行しない隔離された保管先に保存し、閲覧権限を限定します。
取得日時・取得者・対象を記録し、原本を変更せずコピーで調査します。
保存しただけで安全になったり、必ず原因を特定できたりするわけではありません。
2｜サイトを止めるか判断する
| 状況 | 判断 |
|---|---|
| マルウェア配布・フィッシングページがある | 即座に停止。訪問者に被害が及ぶ |
| フォームの情報窃取・不正転送が疑われる | 即座に停止。情報流出の可能性 |
| スパムページの生成のみ | 停止が望ましいが、状況により判断 |
| 決済ページや連携の改変が疑われる | 即座に停止し、決済代行会社にも連絡 |
サーバー会社と相談し、侵害されたWordPressに依存しないアクセス制限や隔離を行います。
メンテナンス画面への差し替えだけでは、不正な処理や外部からの接続が止まるとは限りません。
停止前後の操作日時と変更内容も記録してください。
3｜すべてのパスワードを変更する
安全を確認した端末から、侵害の可能性がある認証情報を変更します。
感染が疑われる端末やサイトに新しいパスワードを入力し続けないでください。
保守担当と、変更により影響を受ける接続先も確認します。
- WordPressの全ユーザー（不審な権限を保全後に無効化）
- FTP・SFTPアカウント
- サーバー管理画面
- データベース
- ドメイン管理画面
ユーザー情報と操作履歴を保全したうえで、不審なアカウントのアクセスを無効化します。
削除する場合は記事の所有者や業務への影響を確認します。
WordPress公式の改ざん対応も参照し、既存のログインセッション、認証用キー、アプリケーションパスワードや外部連携トークンを見直してください。
パスワード変更だけで、すべてのアクセス経路が閉じるとは限りません。
除去・復旧後にも必要な認証情報を再変更します。
4｜使えるバックアップを探す
バックアップの保存世代・取得日時・復元方法を確認します。
利用できるバックアップがなくても再構築を検討できるため、ここだけで復旧不能とは判断しません。
- サーバー会社の自動バックアップ（保存世代数を確認）
- バックアッププラグインの保存先
- 制作会社が保管しているデータ
発見日より前のバックアップでも、侵害済みの可能性があります。
ログや変更履歴と照合し、隔離環境で内容を検査してから復元候補を選びます。
復元で失われる注文・問い合わせ・記事更新などの差分も整理してください。
バックアップがどこにあるか分からないときは、バックアップは誰が取っているかの5つの手順で探せます。
バックアップがどこにあるか分からないときは、バックアップは誰が取っているかの5つの手順で探せます。
やってはいけないこと
- 怪しいファイルをいきなり削除する：証拠が消え、侵入経路が分からなくなります
- WordPressを上書き再インストールして終わりにする：バックドアはテーマやプラグイン、データベースにも仕込まれます
- パスワードを変えずに復旧する：漏えいした認証情報で再侵入されるおそれがあります
- 原因不明のまま公開を再開する：侵入経路や不正な処理が残ると再発のおそれがあります
- 放置する：検索エンジンから警告対象になり、回復に時間がかかります
WordPress本体を上書きしても、追加された不正ファイル、テーマ・プラグイン、設定やデータベース内の改変が残る場合があります。
復旧は表示だけで判断せず、侵入経路と残存する不正な処理を調べます。
復旧の流れ
| STEP | 作業 |
|---|---|
| 1 | 証拠保全・停止・パスワード変更（前述） |
| 2 | クリーンな環境を用意する（可能なら新しいサーバー領域） |
| 3 | WordPress本体・テーマ・プラグインを公式配布元から新規に取得 |
| 4 | コンテンツ（記事・画像）だけを、確認しながら移す |
| 5 | データベースに不正なコードが混入していないか確認 |
| 6 | 互換性を検証して修正版へ更新し、不要な拡張を除去 |
| 7 | 不正な処理の除去、侵入経路への対処、機能・認証の確認結果を記録し、責任者が公開を判断 |
| 8 | Search Consoleでセキュリティの問題を確認し、必要なら審査をリクエスト |
| 9 | 公開直後は重点的にログ・表示・アカウントを監視し、その後の定期監視と通知担当を決める |
公式配布元または正規の販売元から信頼できるプログラムを取得します。
独自開発部分は正常な履歴と比較して確認します。
記事・画像・アップロード領域も無条件に安全とは扱わず、混入したコードや転送、不要ファイルを調べてから移します。
WordPress公式のセキュリティ対策も、更新・権限・保管方法の確認に利用してください。
侵入経路として調べるもの
| 経路 | 対策 |
|---|---|
| 古いプラグイン・テーマの脆弱性 | 更新を怠らない。使っていないものは削除する |
| WordPress本体が古い | 自動更新を有効にする |
| 推測されやすいパスワード | 長く複雑なものに。使い回さない |
| 管理者アカウントの保護不足 | 固有の強いパスワード、多要素認証、権限を確認。名前の変更だけに頼らない |
| PHPのバージョンが古い | サポート中のバージョンに上げる |
| 共有サーバー上の別サイトから | 同一サーバー上の他サイトも点検する |
| 担当者PCのウイルス感染 | FTP情報が盗まれる。端末側の対策も必要 |
この一覧は調査候補であり、今回の侵入経路や発生割合を示すものではありません。
更新履歴、認証ログ、ファイルの変更、関連サイトや端末を照合し、確認できた事実と推測を分けて記録します。
再発を防ぐ設定
- WordPress本体・テーマ・プラグインを常に最新に保つ（最重要）
- 使っていないプラグイン・テーマを削除する
- 管理画面への二段階認証を導入する
- ログイン試行回数を制限する
- 管理者権限のアカウントを最小限にする
- バックアップを自動取得し、サーバー外にも保存する
- PHPをサポート中のバージョンに保つ
- Search Consoleに登録し、警告を受け取れるようにする
バックアップの保存先に注意してください。
同じサーバー上にだけ置いていると、サーバーごと侵害されたときに一緒に失われます。
外部ストレージへの保存を必ず含めてください。
見積もりで確認する範囲
| 作業 | 含める作業 |
|---|---|
| 調査・原因特定 | 調査対象・作業範囲・報告書の有無 |
| 復旧作業（小〜中規模サイト） | 再構築・データ検査・機能確認・公開判断の範囲 |
| バックアップからの復元のみ | 復元前の検査・差分回収・復元後の確認 |
| 再発防止の設定 | 調査対象・作業範囲・報告書の有無 |
復旧費用は、対象サイト数、調査範囲、バックアップの状態、個人情報の取扱い、緊急対応の有無で変わります。
根拠を示せない一律の相場では判断せず、調査・復旧・再発防止・監視を分けて見積もりを依頼します。
保守契約に含まれる作業は契約・著作権・検収の実務も参考に確認してください。
よくある質問
Q. 小さな会社のサイトでも狙われますか？
小規模なサイトでも、不正アクセスへの備えは必要です。
規模だけで安全性や被害の受けやすさを決めず、利用中のソフトウェア、認証、権限、監視を確認してください。
Q. セキュリティプラグインを入れれば大丈夫ですか？
検知やアクセス制限に役立つ場合がありますが、導入だけで不正な処理の除去や侵入経路の修正が済むわけではありません。
更新、権限管理、ログ確認、復元可能なバックアップを組み合わせます。
Q. 個人情報が漏れた可能性があります
責任者へ共有し、技術調査と並行して、法務・個人情報管理担当へ相談してください。
個人情報保護委員会の漏えい等への対応案内を確認し、報告・本人通知の要否と期限を判断します。
対象には漏えい等が発生したおそれのある事態も含まれるため、流出の確定まで放置しないでください。
個別の判断は情報の種類や状況によって異なります。
報告の期限と、制作会社・保守会社との責任の線引きはホームページが改ざんされたら責任は誰かにまとめました。
報告の期限と、制作会社・保守会社との責任の線引きはホームページが改ざんされたら責任は誰かにまとめました。
Q. 検索結果に不正な内容が出続けています
Search Consoleのセキュリティの問題レポートで指摘された内容を調べ、問題を解消してから必要な審査をリクエストします。
警告の解除と通常の検索結果の再クロールは同じ処理ではありません。
残っているURLの応答や本文、再発の有無を確認し、反映日数を一律には約束しないでください。
まとめ
- 被害拡大の防止と証拠保全を並行し、削除や上書きの前に記録する
- 訪問者に被害が及ぶ状態なら即座に停止する
- 侵害の可能性がある認証情報を変更し、セッション・トークンも見直す
- 復旧は正規配布元と正常な履歴を使い、コンテンツも検査して移す
- 侵入経路と残存する不正な処理を調査し、公開判断の記録を残す
- バックアップはサーバー外にも保存する
発見直後は被害拡大の防止と証拠保全を進め、復旧後は公開判断と監視を担当者が引き継げる形に残します。
画面が元に戻ったことだけで対応を終了せず、認証情報・侵入経路・残った課題を確認してください。
