ホームページが改ざんされた・書き換えられたときの初動と復旧手順
サイトに見覚えのない文章や「Hacked by」の表示が出た、知らない画像や外部への誘導が入った——ホームページ改ざんが疑われるときに、被害を広げず原因を残すための初動と、復旧の進め方を中小企業向けに整理します。
ある朝サイトを開いたら、見覚えのない文章や画像が出ている。「Hacked by」と書かれている。検索すると知らないページが自社サイトにぶら下がっている——これらは改ざんの典型的なサインです。
改ざんは、あわてて消すとかえって事態を悪化させることがあります。この記事では、被害を広げず原因を残すための初動を先に示します。
まず結論：やること・やってはいけないこと
やること（初動）
- 現状を記録する — 改ざんされた画面のスクリーンショット、URL、気づいた日時をメモします。後の原因特定と、再発時の比較に使います。
- 管理者パスワードを変える — WordPress・サーバー・FTP・独自ドメインの管理など、関係するログイン情報をすべて変更します。
- バックアップの有無を確認する — いつ時点のものがあるか。改ざん前のものか。
やってはいけないこと
- 見えている改ざんだけを急いで消す（裏口が残り再発、証拠も消える）
- 原因を直さずにバックアップから戻す（同じ穴から再発）
- 「たぶんこのプラグイン」と推測で削除する
改ざんの主な原因
改ざんの入口は、ほとんどが次のいずれかです。
- 古いプラグイン・テーマ・CMS本体の脆弱性（最多）。→ WordPressの脆弱性の確認手順
- PHP本体の脆弱性。2026年10月のPHP2Shellのように、土台が狙われるケース。→ PHP2Shellの解説
- 盗まれた・弱い管理パスワードによる不正ログイン。
- 制作時の設定の不備（権限・公開範囲）。
復旧の進め方
| 手順 | 内容 |
|---|---|
| 1 | 現状の記録・影響範囲の確認（どのページ・いつから） |
| 2 | 改ざんされたファイルと、仕込まれた裏口（バックドア）の特定 |
| 3 | 原因（脆弱性・漏れたパスワード等）の修正 |
| 4 | クリーンな状態への復旧（原因を直した上でバックアップ活用／手作業の除去） |
| 5 | 再発防止（更新・不要プラグイン削除・二段階認証・監視） |
| 6 | 検索エンジンの警告が出ている場合は、解除の申請 |
当社でできること
改ざんが疑われる場合は、緊急対応窓口で、URLから公開範囲の状況を安全に確認し、改ざんの可能性・対応可能性・概算の料金帯をお伝えします（法人・個人事業主向け）。まだ確信がなく「改ざんされたかもしれないので見てほしい」という段階でも構いません。パスワード等の秘密情報は入力せず、URLだけで確認を始められます。
予防の観点では、ホームページ安全設定の無料診断で、バージョン情報の露出や基本的な安全設定を平時のうちに点検しておくことをおすすめします。復旧後の再発を早く見つけるための改ざん・異常の見守り（月額）もご用意しています。
よくある質問
とりあえず改ざんされたページを消して元に戻してもいいですか？
おすすめしません。改ざんは「結果」であって「原因」ではありません。入口（古いプラグインやPHPの脆弱性、盗まれたパスワードなど）が残ったままだと、消してもすぐ再発します。まず現状を記録し、バックアップから戻す場合も、原因を直してから戻すのが安全です。
バックアップから戻せば解決しますか？
原因を直さずにバックアップから戻すと、同じ穴から再び改ざんされます。また、バックアップ自体が改ざん後のものだと意味がありません。いつ時点のバックアップか、原因は塞いだかをセットで確認してください。
警察やIPAに届け出る必要はありますか？
個人情報の漏えいが疑われる場合や被害が大きい場合は、関係機関への報告・相談が必要になることがあります。当窓口は漏えい・決済情報が関わる案件は専門窓口をご案内しています。
参照資料
- IPA: ウェブサイトの改ざんへの対策（2026.10.24 確認）
- JPCERT/CC: インシデント対応（2026.10.24 確認）
- WordPress公式: FAQ My site was hacked（2026.10.24 確認）