サーバー会社から「改ざんの疑い」と通知が来たときにやること

サーバー会社から届く改ざんの通知には、「不正なアクセスを検知しました」「不正なファイルが設置されています」「当社システムへの不正アクセスについて」など、さまざまな形があります。HPが「403 Forbidden」で見られなくなってから気づくこともあります。

通知の種類と対処の順番を知っておけば、あわててファイルを消したり、偽の通知にパスワードを入れたりせずに済みます。通知に書かれたファイルを消すだけでは、裏口や入られた原因が残るため、順番を守って進めることが重要です。

本記事では、通知が来たときにまず確かめること、放置すると起きること、対処の手順と元に戻す3つの方法をまとめています。さらに、サーバー会社側の事故のときの対処、連絡・届け出の先、再発防止策も紹介します。

サーバー会社から改ざんの通知が来たときにまず確かめること【早見表】

サーバー会社から改ざんの通知が来たときは、通知が本物か、自社のHPの改ざんか、サーバー会社側の事故かを先に確かめます。偽の通知ならリンクを押すこと自体が被害になり、本物なら種類によってやることが変わるからです。

ここでは、通知が本物かを確かめる手順、2種類の通知の見分け方、自社のどのサイトが対象かを確かめる表を紹介します。通知のメールは、消さずに残しておきましょう。

通知が本物かを確かめる

通知が本物かは、メールの中のリンクを使わずに確かめます。サーバー会社を名乗るフィッシングメールもあり、実際の事故に便乗する例もあるからです。たとえば、さくらインターネットは2026年の不正アクセスの発表で、便乗したフィッシングメールや不審な電話に注意を呼びかけ、電話でパスワードやクレジットカードの情報を聞くことはないとしています（さくらインターネット）。

1. メールの中のリンクは押さず、書かれた電話番号にもかけません
2. ブックマークや自分で入力した URL から、サーバー会社の管理画面にログインします
3. 管理画面のお知らせや、連絡の履歴に同じ内容が出ているかを見ます
4. サーバー会社の公式サイトに、障害や事故の発表が出ていないかを見ます
5. 分からなければ、公式サイトに載っている窓口へ自分から問い合わせます

管理画面に同じ内容がなく、公式サイトにも発表がなければ、偽の通知の可能性があります。

自社のHPの改ざんか、サーバー会社側の事故かを見分ける

本物の通知だと分かったら、自社のHPの改ざんか、サーバー会社側の事故かを見分けます。自社のHPの改ざんなら自社で掃除と原因の対処が要り、サーバー会社側の事故なら案内された手続きが中心になるからです。

種類	通知の中身	例	自社でやること
自社のHPの改ざん	自社のアカウントの中に、不正なファイルや書き換えが見つかった	エックスサーバーの「不正なアクセスの検知および制限の実施について」という件名のメール。不正なファイルの一覧が付く	記録・掃除・パスワード変更・原因の対処
サーバー会社側の事故	サーバー会社のシステムが攻撃され、利用者に影響が出たおそれがある	さくらインターネットの2026年の不正アクセスの個別の案内	公式発表の確認、求められた手続き

※2026年10月時点・エックスサーバー、さくらインターネット公式サイトより

どちらか分からない場合は、通知に自社のアカウントの中のファイル名が書かれているかを見ます。ファイル名が書かれていれば、自社のHPの改ざんとして扱いましょう。

自社のどのサイトが対象かを確かめる

自社のHPの改ざんなら、どのアカウント・どのサイトが対象かを確かめます。1つのサーバーに複数のサイトを置いていると、使っていない古いサイトから入られていることがあるからです。確かめる項目は、以下のとおりです。

確かめること	見るところ
対象のアカウント	通知に書かれたサーバー ID やアカウント名が、自社の契約のものか
対象のドメイン・サイト	1つのサーバーに複数のサイトがあるなら、どのサイトか
書かれているファイル	WordPress のフォルダの中か、使っていない古いサイトのフォルダか
日時	通知の日時。エックスサーバーは、入られた正確な日時とは限らないとしている
HPの状態	表示されるか、「403」などのエラーか、見た目が変わっていないか

サーバーの登録メールアドレスが制作会社や辞めた担当者のままだと、通知が自社に届かないことがあります。制作会社に届いた通知は、内容をそのまま転送してもらってください。

サーバー会社の改ざんの通知を放置すると起きること

サーバー会社の改ざんの通知を放置すると、HPを見た人や自社の信用に被害が広がります。改ざんされたHPは、見た目が変わらないまま裏で悪用されることがあり、自社では気づきにくいからです。

ここでは、エックスサーバーの案内（エックスサーバー）などをもとに、放置すると起きることを紹介します。

起きること	中身
意図しない内容の公開	知らないページや広告、別のサイトへの転送が表示される
閲覧者の端末の感染	HPを見た人のパソコンやスマホに、ウイルスを入れようとする
個人情報の盗み出し	問い合わせフォームなどの情報を抜き取られる
迷惑メールの送信	サーバーから迷惑メールが送られ、普段のメールまで届かなくなる
HPの停止	サーバー会社がサーバーを凍結し、「403 Forbidden」でHPが見られなくなる

エックスサーバーは、不正アクセスなどでサーバーが凍結されると「403 Forbidden」が表示されることがあり、凍結の解除は登録メールアドレスへの案内に沿って進めると案内しています（エックスサーバー）。凍結は、被害の広がりを止めるための措置です。

改ざんの通知が来たHPで見られる異変と入口

改ざんの通知が来たHPには、通知の前後で見た目や動きに異変が出ていることがあります。異変と入口の見当がつくと、掃除の範囲と、ふさぐべき場所を決めやすくなります。

ここでは、改ざんされたHPに出やすい異変と、改ざんの主な入口を紹介します。

改ざんされたHPに出る異変

改ざんされたHPでは、閲覧者や検索結果に異変が出ることがあります。改ざんは、HPを見た人を別のサイトへ誘導したり、検索結果を悪用したりする目的で行われることがあるためです。主な異変と確かめる場所は、以下のとおりです。

異変	確かめる場所
スマホで開くと別のサイトに飛ばされる	スマホのモバイル回線で、検索結果からHPを開く
検索結果に、身に覚えのない日本語や中国語のページが出る	検索サイトで「site:自社のドメイン」と入れて表示する
見覚えのない広告やポップアップが出る	社外の端末でHPを開く
Google の検索結果やブラウザに「危険なサイト」の警告が出る	Google Search Console の「セキュリティの問題」
知らない管理者アカウントやプラグインがある	WordPress の「ユーザー一覧」と「プラグイン」

上記の異変は、改ざんした側がログインしている管理者には表示しないように仕込むこともあります。管理画面にログインしていない端末で確かめてください。

改ざんの主な入口

改ざんの入口は、ソフトウェアの弱点とパスワードの漏れに大きく分かれます。どちらが入口だったかによって、STEP7 で直す場所が変わるからです。

• 更新が止まった WordPress 本体・プラグイン・テーマ
• サポートが終わった古い PHP
• 使い回しや推測されやすいパスワード（サーバー・FTP・WordPress）
• ウイルスに感染した、HPの更新に使うパソコン
• 同じサーバーに残った、使っていない古いサイト

入口が1つとは限らないため、STEP7 では上記をすべて見直すのが安全です。

サーバー会社から改ざんの通知が来たときの対処【8STEP】

サーバー会社から改ざんの通知が来たときの対処は、記録を残してから掃除し、最後に入口をふさぐ順番で進めます。先に消すと、何が起きたかを調べられず、届け出や再発防止に必要な情報もなくなるからです。

ここでは、エックスサーバーの案内（エックスサーバー）と、WordPress.org の案内（WordPress.org）をもとに、順番を8STEPで紹介します。サーバー会社によってメニューや手順が違うため、届いた通知の案内を優先してください。

1. 【STEP1】記録を残す：通知のメール、気づいた日時、HPの状態のスクリーンショット、最近の作業（プラグインの追加など）を書き出します
2. 【STEP2】公開を止める：凍結されていなければ、メンテナンス中の表示に切り替えるなどして、改ざんされたページを見た人に被害が広がらないようにします
3. 【STEP3】使っているパソコンを確かめる：HPの更新に使っているパソコンを、ウイルス対策ソフトでスキャンします。パソコンから盗まれたパスワードで入られることもあります
4. 【STEP4】消す前に残す：ファイルとデータベースを、今の状態のままバックアップします。WordPress なら、設定ファイル（wp-config.php）に書かれたデータベースの接続の情報も控えます
5. 【STEP5】不正なファイルを取り除く：エックスサーバーは、裏口になるプログラムが残っている可能性が高いとして、アカウントの中のファイルを一度すべて消すことを推奨しています。一覧のファイルだけを消す場合も、一覧にないものが残っていないか全体を調べます
6. 【STEP6】パスワードを全部変える：サーバー会社のアカウントと管理画面、FTP（ファイルを送る仕組み）、WordPress の管理者全員のパスワードを変えます。知らないユーザーがいれば消します（WordPress に知らない管理者アカウントが増えているときにやること）
7. 【STEP7】入られた原因を直す：WordPress 本体・プラグイン・テーマを最新にし、使っていないものは削除します。PHP（HPを動かしているプログラムの言語）が古ければ上げ、2段階認証も設定します
8. 【STEP8】きれいなデータで戻し、再開の手続きをする：以下の「元に戻す3つの方法」でHPを戻し、凍結されている場合は通知の案内に沿って解除を申し込みます

※2026年10月時点・エックスサーバー公式マニュアルより

STEP5〜7のどれかを省くと、また同じ入口から改ざんされます。全部を自社で進められない場合は、STEP4までを済ませたうえで専門家に相談してください。

改ざんされたHPを元に戻す3つの方法

改ざんされたHPを元に戻す方法は、主に3つあります。どの方法でも、戻すデータが改ざんされていないことを確かめてから使う点が共通です。

ここでは、3つの方法の特徴と、向いている場面を紹介します。

方法	中身	向いている場面	注意
バックアップから戻す	サーバー会社の自動バックアップなどから、入られる前の日付のデータを戻す	入られた時期がおおよそ分かっている	入られた時期が分からないと、バックアップにも裏口が入っていることがある
不正なファイルを取り除く	改ざんされたファイルと不正なファイルを1つずつ探して直す	被害の範囲が狭い	見落としが起きやすく、専門の知識が要る
きれいな環境で作り直す	WordPress 本体・プラグイン・テーマを公式の配布元から入れ直し、確かめた記事や画像だけを移す	被害が広い、入られた時期が分からない	手間と時間がかかる

エックスサーバーは、自動バックアップから戻す場合も、不正アクセスより前の日付を選び、改ざんがないかを確かめてから戻すよう案内しています。WordPress なら、最新の WordPress を入れ直し、控えておいたデータベースの接続の情報を設定し直す方法も紹介されています（エックスサーバー）。

戻したあとに Google の検索結果に警告が出ている場合は、Search Console に「セキュリティの問題」と出たときの対処 の手順で審査を申し込みます。

サーバー会社側の事故で通知が来たときの対処

サーバー会社側の事故で通知が来たときは、公式発表と個別の案内に沿って、求められた手続きを進めます。事故の調査と対策はサーバー会社が進めるため、利用者に求められるのはパスワードの変更などの手続きが中心だからです。

たとえば、さくらインターネットは2026年9月10日の第三報で、「さくらのレンタルサーバ」で影響を受けた可能性のあるアカウントを951件とし、対象の利用者には個別にメールで案内するとしています。初期のサーバーパスワードのまま使っている利用者には、会員メニューにログインしてパスワードを設定するよう求めています（さくらインターネット）。

1. 届いた案内と、サーバー会社の公式発表を読み、対象かどうかと求められていることを確かめます
2. 求められたパスワードの変更などを、管理画面から自分で行います
3. 念のため、自社のHPに見覚えのない変化がないかを、上の「自社のどのサイトが対象かを確かめる」の表で確かめます
4. 便乗したフィッシングメールや電話に注意し、社内にも共有します

サーバー会社側の事故でも、自社のHPに不正なファイルが見つかった場合は、自社のHPの改ざんとして8STEP の対処を進めてください。

改ざんの通知のあとに連絡・届け出をする先

改ざんの通知のあとは、被害の内容に応じて、関係先への連絡と公的な窓口への届け出を検討します。届け出ると、専門の機関から調査や対処の助言を受けられる場合があるからです。

ここでは、主な連絡・届け出の先を紹介します。

連絡・届け出の先	どんなとき	中身
制作会社・保守会社	HPの制作や保守を任せている	通知の転送、対応の範囲の確認
JPCERT/CC	HPが改ざんされた	改ざんされたサイトへの対応の依頼。Web フォームかメールで報告する（JPCERT/CC）
警察（サイバー犯罪相談窓口）	被害を相談・通報したい	アクセスの記録などを持って相談する（警察庁）
個人情報保護委員会	お客さまの個人情報が漏れたおそれがある	報告の義務があるかを確かめる
取引先・お客さま	HPを見た人に被害が出たおそれがある	状況の説明と、注意してほしいこと

警察庁は、改ざんの被害に遭ったら、サービスを止めて管理画面やデータベースへのアクセスの記録を保存し、警察に相談するよう案内しています。相談のしかたは サイバー被害を警察・IPA に相談する方法、個人情報の報告は 個人情報が漏れたときの報告義務（個人情報保護委員会） で解説しています。報告が必要かどうかの最終的な判断は、弁護士などの専門家にご相談ください。

改ざんの通知で専門家に相談すべきとき

改ざんの通知への対処は、記録を残してパスワードを変えるところまでは自社でも進められます。一方で、不正なファイルの見分けや入られた原因の特定には、専門の知識が要ります。

ここでは、専門家に相談すべき条件を紹介します。いま被害が出ているなら、ひとりで抱え込まずに相談してください。

【相談すべき条件】

• アカウントの中のファイルを、自社で調べられる人がいない
• 入られた時期が分からず、戻せるバックアップがあるか判断できない
• 一度掃除したのに、また通知が来た
• 問い合わせフォームや会員の情報など、個人情報を扱っている
• サーバーの契約者が分からず、管理画面に入れない

サーバー会社がHPの中身の掃除や原因の調査まで手伝うかは、会社や契約によって違います。届いた通知と、契約しているサーバー会社のマニュアルで、対応の範囲を確かめてください。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

サーバー会社から改ざんの通知が来ないようにする再発防止策

サーバー会社から改ざんの通知が来ないようにするには、入口をふさぎ、異変にすぐ気づける状態を保つことが基本です。エックスサーバーも、バックアップから戻しても根本の原因を直さなければ再発の可能性が高いとしています。

ここでは、エックスサーバーの再発防止の案内（エックスサーバー）をもとに、続けたい対策を5つ紹介します。

1. 2段階認証を設定する：サーバー会社のアカウントと WordPress の管理画面の両方に設定します
2. WordPress・プラグイン・テーマを最新にする：使っていないものは削除し、更新が止まったプラグインは代わりを探します
3. サーバーのセキュリティ機能を使う：WAF（Webサイトへの攻撃を手前で止める仕組み）や、WordPress のログイン制限の機能を有効にします
4. 使っていないサイトを消す：同じサーバーに残った古いサイトは、更新されないまま入口になります
5. 登録メールアドレスを会社の共有アドレスにする：通知が制作会社や辞めた担当者だけに届く状態をなくします

改ざんの対処の全体の流れは、HPが改ざんされたときに最初にやること でも解説しています。

あわせて読みたい
HPがおかしい？ 改ざんの前ぶれを症状別に確かめるチェック表

まとめ

• サーバー会社から改ざんの通知が来たら、メールのリンクを使わずに、管理画面や公式サイトで本物かを確かめます
• 自社のHPの改ざんか、サーバー会社側の事故かで、やることが変わります
• 自社のHPの改ざんなら、公開を止めて今の状態を残し、不正なファイルの除去・パスワードの変更・入られた原因の対処まで進めます
• 戻すデータは改ざんされていないことを確かめてから使い、必要に応じて JPCERT/CC や警察に届け出ます

自社で調べられない、また通知が来たなどの場合は、STEP4までを済ませたうえで専門家に相談してください。