WordPressが改ざんされたときの初動対応｜最初の30分にやること

2026.08.282026.09.08

自社サイトを開いたら、見知らぬ言語のページが表示された。検索結果に、身に覚えのない商品名が並んでいる。ブラウザが「危険なサイト」と警告を出す——WordPressの改ざんです。

この状況で最も多い失敗は、慌てて改ざんされたファイルを消してしまうことです。原因が特定できなくなり、復旧してもまた同じ手口でやられます。

この記事では、最初の30分に何をすべきか、優先順位をつけて解説します。

改ざんのサイン

「スマートフォンだけ転送される」は特に厄介です。PCで確認している担当者は気づかず、数か月放置されることがあります。定期的にスマートフォンの実機でも確認してください。

この順番で進めてください。

最優先です。削除や修正をする前に、現状を保全してください。

これがないと、侵入経路が特定できず、復旧しても再発します。「汚染されたデータを残すのは怖い」と感じるかもしれませんが、公開サーバーから切り離して保管すれば問題ありません。

停止方法は、サーバー管理画面で公開を止めるか、メンテナンス画面に差し替えます。訪問者に被害が及ぶ可能性がある場合、売上より停止を優先してください。

侵入者が認証情報を持っている前提で動きます。

あわせて、WordPressの管理画面で「ユーザー」一覧を確認し、見知らぬ管理者アカウントがないかを見てください。あれば削除します（削除前にスクリーンショットを）。

復旧の可否は、ここで決まります。

重要なのは「改ざん前の日付のもの」を選ぶことです。改ざんは、気づく数週間前から始まっていることがあります。直近のバックアップには、すでに不正なファイルが含まれている可能性があります。

2つ目が特に重要です。「WordPress本体を入れ直したから安心」は成立しません。侵入者は、再侵入用の仕掛けを複数箇所に残すのが通常です。

STEP	作業
1	証拠保全・停止・パスワード変更（前述）
2	クリーンな環境を用意する（可能なら新しいサーバー領域）
3	WordPress本体・テーマ・プラグインを公式配布元から新規に取得
4	コンテンツ（記事・画像）だけを、確認しながら移す
5	データベースに不正なコードが混入していないか確認
6	すべて最新版に更新し、不要なプラグインは削除
7	公開再開
8	Search Consoleでセキュリティの問題を確認し、必要なら審査をリクエスト
9	1〜2週間、ログと表示を監視

ポイントは3です。汚染された環境から持ってくるのはコンテンツだけで、プログラムはすべて公式配布元から取り直します。これが最も確実な方法です。

圧倒的に多いのは更新されていないプラグインです。特に「入れたまま使っていないプラグイン」は、存在自体がリスクになります。使わないものは無効化ではなく削除してください。

バックアップの保存先に注意してください。同じサーバー上にだけ置いていると、サーバーごと侵害されたときに一緒に失われます。外部ストレージへの保存を必ず含めてください。

この費用は、保守契約の範囲外になっていることが多い項目です。「改ざん時の復旧が保守に含まれるか」は、契約時に必ず確認してください。詳しくは契約・著作権・検収の実務もご覧ください。