ホームページが​乗っ取られた​・​改ざんされたときの​対処止める​・残す・直す・知らせるの​順番と、​公的な​相談先

乗っ取り・​改ざんかもしれない、​と​気づくのは​どんなとき？

多いのは、​自分の​サイトを​開いたら​別の​サイトに​飛ばされた、​検索結果に​見覚えのない​ページや​外国語の​題が​並んでいる、​Googleや​ブラウザに​「危険なサイト」の警告が​出た、​管理画面に​いつもの​パスワードで​入れない、という​気づき方です。
取引先から​「御社のサイトを​開いたら​変な​広告が​出た」と言われて​知ることもあります。

WordPress の​公式の​案内は、​検索エンジンに​危険な​サイトとして​載る、​サーバー会社に​サイトを​止められる、​ウイルス対策ソフトに​警告される、​覚えのない​利用者が​作られている、といったことを、​ハッキングを​はっきり示す兆しとして​挙げています​（WordPress.org：FAQ My site was hacked、​2026年10月30日確認）。

注意したいのは、​自分の​パソコンでは​普通に​見えることがある​点です。
検索から​来た​人や​スマホで​開いた​人にだけ別の​ページを​見せる​書き換えも​あるので、​Googleで​ site:自社のドメイン と​検索して、​覚えのない​ページが​登録されていないかも​見ます。

「乗っ取り」「改ざん」と言っても、​奪われるものは​次の​3つに​分かれます。

ドメインの​登録情報が​書き換えられる​形は、​JPドメインを​管理する​JPRSが​「ドメイン名ハイジャック」として注意を​呼びかけ、​登録情報を​定期的に​確かめることや、​登録情報の​変更を​止めておく​仕組み​（レジストリロック）を紹介しています​（JPRS：登録情報の​不正​書き換えに​よる​ドメイン名ハイジャックと​その​対策に​ついて、JPRS：レジストリロックサービス、​2026年10月30日確認）。
ドメインの​状態の​見方はホームページが​表示されない​原因に​書いています。

気づいたら、​最初に​何を​する？​順番は​止める​・残す・直す・知らせる

最初に​するのは、​来た​人に​被害を​広げないことです。
別の​サイトへ​飛ばされる、​不審な​ファイルを​配っている、という​状態なら、​サーバーの​管理画面で​サイトを​一時的に​止めるか、​メンテナンスの​表示に​切り替えます。

次に、​直す前の​状態を​残します。
WordPress の​公式の​案内は、​最初の​作業として​「記録」を挙げ、​何を​見て​ハッキングだと​思ったか、​気づいた​時刻、​最近​入れた​プラグインや​テーマの​変更を​書き留めるよう​勧めています。
掃除を​始める​前に、​汚れたままの​サイトも​いったん丸ごと​控えておくよう​書いています​（出典は前の​節と​同じ）。
控えておけば、​後で​専門の​会社や​窓口に​見てもらうときの​材料に​なり、​作業で​壊したときにも​戻れます。

パスワードは、​気づいた​時点で​一度​変え、​直し終えた​後に​もう​一度​変えます。
入り​込んだ​人が、​直す作業の​途中で​新しい​パスワードを​盗み​見ていることが​あるからで、​WordPress の​公式の​案内も、​きれいに​した​後でもう​一度​変えるよう​書いています。
変えるのは​ WordPress の​管理者だけではありません。
サーバーの​管理画面、​FTP や​ SFTP、​データベース、​そして​管理画面に​入る​全員の​パスワードです。
入っている​パソコンの​側が​ウイルスに​感染していて、​そこから​パスワードが​盗まれていることもあるので、​作業に​使う​パソコンの​ウイルス検査も​同じ​時期に​行います。

WordPressが​乗っ取られたとき、​自分で​直せる？

管理画面に​入れて、​書き換えられた​所が​限られているなら、​自分で​直せることもあります。
WordPress の​公式の​案内は、​本体の​ wp-admin と​ wp-includes は​同じ版の​公式の​ファイルで​置き換えて​よいとし、​テーマと​プラグインの​入った​ wp-content は​慎重に​1つずつ​確かめるよう​書いています。
.htaccess、​index.php、​header.php、​footer.php、​functions.php は、​書き換えられると​すべての​ページに​影響するので、​特に​見る​ファイルとして​挙げられています。
管理画面の​「再インストール」の機能ではなく、​ファイルを​直接置き換えるよう​勧めているのは、​入り​込んだ​人が​足した​ファイルが​残るからです。

管理者の​パスワードが​変えられて​入れないときは、​サーバー会社が​用意している​データベースの​管理の​道具から、​管理者の​メールアドレスを​自社のものに​戻し、​パスワードの​再設定の​メールを​受け取る​方法が​あります。

一方で、​次のようなときは、​自分で​掃除を​続けるより、​専門の​会社に​頼むほうが​早く、​安全だと​私は​考えています。

• どの​ファイルが​書き換えられたのか、​見当が​つかない
• 一度​消したのに、​数日で​また​書き換えられた
• 問い合わせフォームや​会員の​情報が、​外に​送られていたかもしれない
• 同じ​サーバーに、​ほかの​サイトや​メールも​載っている

どこから​入られたかが​分からないまま​表面だけ直すと、​同じ​入口から​何度でも​入られます。
入口を​見つける​調べ​（フォレンジック）は、​記録の​読み方に​慣れていないと​難しく、​WordPress の​公式の​案内も​そう​認めています。

どこに​相談すればいい？​公的な​窓口と、​頼める​範囲

自社だけで​判断が​つかないとき、​企業が​相談できる​公的な​窓口は​次の​とおりです。
どの​窓口も、​サイトを​直す​作業​そのものを​代わりに​するところではありません。

出典：IPA：不正アクセス対策特設サイト（2026年10月26日更新）、IPA：サイバーセキュリティ 相談・届出窓口一覧、JPCERT/CC：インシデント対応依頼、警察庁：サイバー事案に​関する​相談窓口（いずれも2026年10月30日確認）。

JPCERT/CC は、​犯人の​特定や​取り締まり、​個別の​製品の​使い方の​相談は​受けない、と​書いています。
IPA の​特別相談窓口は、​聞き取りの​うえで、​対応する​専門の​会社の​一覧を​紹介すると​案内しています。
まず​ IPA に​状況を​伝え、​自社の​サイトで​どこまで​調べるべきかの​見当を​つけてもらうのが、​迷ったときの​入り方だと​思います。

個人情報が​漏れたかもしれないときは、​どこに​報告する？

問い合わせフォーム、​会員の​登録、​予約などで​個人情報を​受け取っている​サイトなら、​その​情報が​外に​送られていなかったかも​確かめます。
個人情報保護委員会は、「不正の目的」で行われた​おそれが​ある​行為に​よる​漏えい、​または​その​おそれが​あるときは、​人数に​関係なく​報告の​対象に​なるとしています。
第三者に​よる​不正な​アクセスも​これに​入ります。
報告は、​発覚してから​3〜5日以内に​速報、​60日以内に​確報です​（不正の目的に​よる​おそれが​ある​場合。個人情報保護委員会：漏えい等の​対応と​お役立ち資料、​2026年10月30日確認）。

改ざんで​フォームの​送り先が​書き換えられていた、​入力ページに​不正な​コードが​足されていた、という​場合は、​この​報告に​当たるか​どうかを​早めに​確かめてください。
フォームが​個人情報を​どこに​送っているかは、ホームページと​システムを​同じ​会社に​頼むときの​確かめ方でも​触れています。

検索結果や​ブラウザの​警告は、​どうすれば​消える？

Google が​ハッキングや、​来た​人に​害を​与える​おそれの​ある​動きを​見つけると、​検索結果に​警告の​ラベルが​付いたり、​ブラウザで​警告の​画面が​出たりします。
Search Console の​「セキュリティの問題」のレポートを​開くと、「ハッキングされたコンテンツ」「マルウェアや望ましくない​ソフトウェア」「ソーシャル エンジニアリング」のどれに​当たるかと、​URLの​例が​載っています。

警告を​外す手順は、​Google が​次のように​説明しています​（Search Console ヘルプ：セキュリティの​問題レポート、​2026年10月30日確認）。

1. レポートに​載った​問題を、​サイトの​すべての​ページで​直す​（一部のページだけ直しても​検索結果は​変わらない）
2. 直したことを​確かめる
3. レポートの​「審査をリクエスト」から、​問題の​説明、​直した​手順、​その​結果を​書いて​送る
4. 結果の​知らせが​来るまで、​送り直さない

審査は、​ほとんどの​場合、​数日から​数週間かかります。
早く​送り直すと、​結果の​知らせが​遅れたり、​違反を​繰り返すサイトとして​扱われたりすることが​ある、​とも​書かれています。
直す前に​ Search Console に​登録していなかったなら、​先に​登録してから、​この​レポートを​開きます。

乗っ取られないために、​ふだん​何を​しておく？

ここまでの​順番を​振り返ると、​慌てずに​進められるか​どうかは、​起きる​前の​準備で​決まります。
私が​勧めたいのは、​次の​4つです。

1つ目は、​入口の​数を​減らすことです。
使っていない​プラグイン、​辞めた​人の​管理者アカウント、​昔の​ FTP の​アカウントを​消し、​残った​アカウントには​長くて​使い回していない​パスワードと​2段階の​認証を​付けます。
2つ目は、​本体・テーマ・​プラグインの​更新を、​誰が​いつ当てるかを​決めることです。
更新が​止まった​サイトほど、​知られた​弱点から​入られやすくなります。
WordPress の​更新で​何が​起きるかはWordPressの​デメリットと​保守の​分担に​書きました。
3つ目は、​バックアップを​取るだけでなく、​そこから​戻せるかを​一度​試しておくことです。
4つ目は、​Search Console に​登録し、​知らせの​メールが​会社の​誰かに​届くように​しておくことです。
警告に​最初に​気づけるのは、​たいていこの​メールです。

私たちの​サイトは、​管理画面を​持たない​静的な​ファイルを、​git という​変更の​記録の​仕組みで​管理して​配信しています。
1行でも​変えれば、​いつ​誰が​何を​変えたかが​記録に​残るので、​配信している​ファイルが​記録と​違っていないかを​比べて​確かめられます。
WordPress を​使う​会社にも​そのまま​勧める​つもりは​ありませんが、「元の正しい​状態が​どこかに​残っていて、比べられる」ことが、​直すときに​いちばん​頼りに​なると​考えて、​この​形に​しています。

保守の​契約で、​改ざんが​起きたときの​対応が​どこまで​入っているかは、​契約に​よって​まちまちです。
ホームページの​保守で​制作会社に​頼むことを​参考に、​起きる​前に​確かめておいてください。

自分で​できること、​頼んだほうが​早いこと

公開を​止める、​今の​状態を​書き留める、​パスワードを​変える、​Search Console の​レポートを​開く、​IPA に​電話する、​まではどの​会社でも​自分で​できます。
どの​ファイルが​書き換えられたかを​調べて​取り除く​作業や、​入られた​入口を​特定する​作業は、​慣れた​人に​頼むほうが​早く​済みます。

管理画面・ドメインの​名義や​更新日の​確かめ方は、ホームページの​制作と​運用の​ご相談の​中で​一緒に​確かめられます。
更新と​検索・AI検索の​対策まで​含めて​毎月​受け持つ形は、​HP運用​（更新＋SEO・​AI検索対策込み）の月10万円〜​（税別）です（料金）。

bundlyzeは​大阪市北区の​グラングリーン大阪を​拠点に​しています。
全国から​ご相談いただけます。
打ち合わせは​Web会議でも、​対面でも​可能です。
この​記事を​書いた​津嘉山は、​業務システム開発と​AWSを​専門と​する​エンジニアで、​公的な​窓口と​Googleの​案内を​確かめたうえで、​自社の​サイトの​管理の​仕方を​書いています。

まずは、​Googleで​ site:自社のドメイン と​検索して、​覚えのない​ページが​出ていないかを​見てみてください。