ホームページが勝手に別のサイトに飛ぶ原因と対処。改ざんの見分け方

ホームページが勝手に別のサイトに飛ぶ症状には、懸賞サイトや通販サイトに飛ばされる、スマートフォンのときだけ飛ばされる、特定のページだけ飛ばされるなど、さまざまな形があります。原因も、改ざんのような深刻なものから、ドメインの更新忘れのように手続きで直るものまで幅広く存在します。

原因の見分け方を把握すると、自社で直せるのか、すぐに専門家へ相談すべきなのかを迷わず判断できます。転送が続いているあいだは、お客さまが詐欺サイトに誘導され続けているため、早い切り分けが重要です。

本記事では、まず確かめることの早見表、別のサイトに飛ぶ原因4つ、自社のHPが当てはまるかを確かめる方法をまとめています。さらに、原因別の対処の手順と、専門家に相談すべき条件、再発を防ぐ方法も紹介します。

ホームページが勝手に別のサイトに飛ぶときにまず確かめること【早見表】

ホームページが勝手に別のサイトに飛ぶときは、「どの端末で」「どこから開いたときに」飛ぶかを確かめることが最初の一歩です。飛ぶ条件によって、疑われる原因が変わるためです。別のサイトに飛ばずに、身に覚えのない広告やポップアップが出る場合は、HPに身に覚えのない広告やポップアップが出るときの対処 を見てください。

ここでは、症状から原因と最初の行動を判断する早見表と、「自分で開くと普通」になる理由を紹介します。

症状	疑われる原因	最初にやること
スマホで検索結果から開いたときだけ飛ぶ	改ざん、広告などの外部スクリプト	転送先のURLを記録し、改ざんの点検をする
どの端末で、どう開いても飛ぶ	改ざん、ドメインの期限切れ、転送設定の誤り	ドメインの期限と転送設定を確かめる
広告を貼っているページだけで飛ぶ	広告などの外部スクリプト	外部のスクリプトを1つずつ外して試す
自社のHP以外でも飛ぶ	見ている人の端末やブラウザ	別の端末で開いて比べる
知らない通販・懸賞・アダルトのサイトに飛ぶ	改ざん	何も入力せず、すぐ記録して専門家に相談する

※緊急度の目安。改ざんかどうかの判断は、次のH2以降の確認とあわせて行ってください

どの行に当てはまっても、飛ばされた先のサイトでは何も入力せず、何もダウンロードしないでください。

「自分で開くと普通」でも、改ざんの可能性がある

お客さまから「飛ばされた」と言われても、自分のパソコンで開くと普通に表示されることがあります。改ざんの多くは、持ち主に気づかれないよう、飛ばす相手を選んでいるためです。

Google は、ハッキングされたサイトで、スマートフォンで見た人だけをスパムのサイトへ転送する例を紹介しています。ほかにも、以下のような条件付きの転送があります。

• 検索結果のリンクから来た人だけを飛ばす（ブックマークやURLの直接入力では飛ばない）
• 初めて来た人だけを飛ばす
• 検索ロボットにはスパムを見せ、ふつうの訪問者は別のサイトへ飛ばす（クローキング）

毎日HPを見る担当者ほど、パソコンのブックマークから開くため、条件付きの転送に気づきにくくなります。お客さまの報告は、勘違いと決めつけずに記録することが重要です。

ホームページが別のサイトに飛ぶ原因4つ

ホームページが別のサイトに飛ぶ原因は、改ざん・外部のスクリプト・ドメインや設定・閲覧者の端末の4つに分けられます。リダイレクト（転送）そのものは、HPの引っ越しやURLの変更で正しく使われる仕組みで、問題は持ち主の知らない転送が起きている場合です。

ここでは、4つの原因ごとに、仕組みと見分けるポイントを紹介します。

原因	中身	重さ
① 改ざん	第三者がサーバーや管理画面に入り込み、転送のコードを仕込んだ	重い。侵入されている
② 外部のスクリプト	広告など、外から読み込んでいるプログラムが転送している	中。自社のサーバーは無事なこともある
③ ドメイン・設定	ドメインの期限切れ、引っ越しのときの転送設定の誤り	改ざんではないが、HPが見られない
④ 閲覧者の端末	見ている人のパソコンやスマホに入った不審なソフトや拡張機能	自社のHPの問題ではない

改ざんで転送のコードを仕込まれた

別のサイトに飛ぶ原因で最も重いのは、改ざんで転送のコードを仕込まれることです。古い WordPress・プラグイン・PHP の脆弱性（ソフトの欠陥）や、漏れたパスワードから入り込まれ、全ページで読み込まれるファイルに転送の仕掛けを置かれるためです。

転送のコードを置かれやすい場所は、以下のとおりです。

• .htaccess（サーバーの動きを決める設定ファイル）に書き足された転送のルール
• WordPress のテーマのファイル（ヘッダーやフッターなど、全ページで読み込まれるもの）
• wp-config.php や index.php などの本体のファイル
• データベース（記事や設定をためている場所）に埋め込まれた JavaScript

ただし、転送のコードを1か所消しても、別の場所に再び書き込む仕組みが残っていることがあります。

広告など外部のスクリプトが転送している

HPに貼っている広告や、外部から読み込んでいるスクリプトが、スマートフォンの人を別のサイトへ転送することもあります。Google は、ディスプレイ広告や収益化のスクリプトが、サイトの持ち主の知らないうちにモバイルの利用者だけを転送することがあると説明しています。

たとえば、広告を貼っているブログのページだけで飛ぶ場合は、②を疑います。ただし、広告を貼っていなくても、アクセス解析・チャット・SNS のボタンなど、外部から読み込んでいるものは調べる対象です。

ドメインの期限切れ・転送設定の誤り

ドメイン（HPの住所にあたる example.co.jp の部分）の更新を忘れると、ドメイン会社の案内ページや広告のページが表示されることがあります。HPの引っ越しのときに残った転送設定や、設定の書き間違いで、別のページに飛ぶこともあります。

たとえば、どの端末で開いてもドメイン会社のページになる場合は、③を疑います。ただし、期限切れのあとに第三者にドメインを取られると、取り戻せないこともあるので急いでください。確かめ方はドメインの期限を確認する方法と、切れたときにどうなるかで解説しています。

見ている人の端末やブラウザの問題

自社のHP以外のサイトでも飛ばされる場合は、見ている人の端末やブラウザに原因があります。不審なアプリや拡張機能、通知の許可から、広告のページに飛ばされることがあるためです。

たとえば、社員のスマートフォンで、どのサイトを開いても同じ広告のページに飛ぶなら、④を疑います。ただし、④だと判断する前に、別の端末でも自社のHPを開いて比べてください。

自社のHPが当てはまるか確かめる方法

別のサイトに飛ぶ原因をしぼり込むには、飛ぶ条件・飛ぶページ・ほかの症状の3つを順に確かめることが重要です。3つを確かめると、改ざんか、外部のスクリプトか、設定の問題かの見当がつきます。

ここでは、専門の道具を使わずにできる確認を3つ紹介します。確認は自社のHPに対してだけ行ってください。

【確認1】飛ばされる条件をしぼる

飛ばされる条件を、端末と開き方を変えて確かめます。条件付きの転送は、条件を満たしたときにしか出ないためです。

試すこと	飛ばされたら
スマホで会社名を検索し、検索結果のリンクから開く	スマホの人や検索結果から来た人を狙う改ざん、または広告
スマホのシークレットモード（閲覧履歴を残さないモード）で開く	初めて来た人だけを狙う転送
パソコンでURLを直接入力して開く	サイト全体の改ざん、またはドメイン・設定の問題
別の回線（社内の Wi-Fi とスマホの回線など）で開く	特定の場所だけで起きるなら、回線や端末側の問題のこともある

Google も、スマートフォンで検索結果からサイトを開き、意図しない転送がないかを確かめる方法を案内しています。飛ばされた先のURLは、スクリーンショットで記録しておきましょう。

【確認2】どのページで起きるか

飛ばされるページの範囲を確かめると、原因の場所をしぼり込めます。全ページで起きるなら全体で読み込まれるファイル、一部のページだけなら、そのページに貼った部品が疑わしいためです。

【確認ポイント】

• トップページだけか、すべてのページか、特定のページだけか
• 広告や外部のスクリプトを貼っているページだけで起きていないか
• 最近追加したプラグインや部品がないか

特定のページだけで起き、そのページだけに広告などを貼っている場合は、外部のスクリプトの可能性が高くなります。

【確認3】改ざんのほかの症状がないか

改ざんのほかの症状が重なっていないかも確かめます。ほかの症状があれば、転送のコードだけでなく、サーバーの中に別の不正なファイルがある可能性が高いからです。

【確認ポイント】

• Search Console の「セキュリティの問題」レポートに問題が出ていないか
• Google で site:自社のドメイン と検索して、知らないページが出ないか（検索結果に知らないページが出る原因と消し方（中国語・日本語スパムのページ））
• WordPress の「ユーザー」に知らない管理者がいないか
• サーバー会社から改ざんの連絡が来ていないか

ひとつでも当てはまれば、改ざんとして扱ってください。全体の点検はホームページがおかしい？ 改ざんの症状を見分けるチェック表と初動にまとめています。

HPが別のサイトに飛ぶときの対処【原因別】

別のサイトに飛ぶときの対処は、原因によって大きく変わります。改ざんなら侵入の原因までふさぐ必要があり、外部のスクリプトなら部品を外せば止まることが多いためです。

ここでは、改ざん・外部のスクリプト・ドメインや設定の3つの原因ごとに、対処の手順を紹介します。

改ざんのときの対処【7STEP】

改ざんが疑われるときは、転送を止めることより先に、記録とバックアップを取ることが重要です。先にファイルを消すと、どこから入られたかが分からなくなり、同じ穴から再び書き換えられるためです。

1. 記録する：飛ばされる条件、転送先のURL、気づいた日時を残す
2. バックアップを取る：サーバー上のファイルとデータベースを丸ごと保存する。改ざんされた状態のものも、原因を調べる材料になる
3. 作業する人を決める：サーバー会社・制作会社・保守会社に連絡する
4. パスワードを変える：サーバーの管理画面、FTP（ファイルを転送する仕組み）、WordPress の管理者、データベースを、それぞれ別の新しいものにする
5. 転送のコードを取り除く：.htaccess、テーマや本体のファイル、データベースの不正なコードを取り除く。WordPress 本体・テーマ・プラグインを公式の配布物から入れ直す方法もある
6. 侵入の原因をふさぐ：古い WordPress・プラグイン・PHP を更新し、使っていないアカウントやプラグインを削除する
7. 直ったか確かめる：確認1の方法で、すべての条件をもう一度試す

手順5は、慣れていないと正しいファイルまで壊すおそれがあるため、専門家に任せるのが安全です。Google の警告が出ている場合は、直したあとに「このサイトは危険です」の表示を解除する方法の手順で審査を申し込みます。

あわせて読みたい
WordPress が乗っ取られたときの復旧の流れ

外部のスクリプトのときの対処

外部のスクリプトが原因のときは、部品を1つずつ外して、転送が止まるかを確かめます。Google も、ハッキングが見つからない場合は、第三者のスクリプトや部品を1つずつ取り除き、そのたびにモバイルで転送が止まったかを確かめる方法を案内しています。

1. 転送が起きるページに貼っている広告やスクリプトを一覧にする
2. 1つずつ外し、スマートフォンで転送が止まるか確かめる
3. 原因が分かったら、その部品を外したままにするか、提供元に連絡して解決を求める

ただし、外すときはHPのデザインや計測が変わるので、制作会社と相談しながら進めてください。

ドメイン・設定のときの対処

ドメインの期限切れなら、ドメイン会社の管理画面ですぐに更新の手続きをします。期限が切れてから日数がたつと、取り戻せなくなったり、費用が高くなったりすることがあるためです。

たとえば、引っ越しのときの転送設定が残っている場合は、サーバー会社の管理画面の転送設定や .htaccess を見直します。ただし、ドメインやサーバーの契約者が分からない場合は、HPの「持ち主」を取り戻す。ドメイン・サーバー・管理画面の確認のしかたを先に読んでください。

別のサイトに飛ぶHPの対処で専門家に相談すべきとき

改ざんが原因で別のサイトに飛ぶ場合は、専門家に相談したほうが早く確実に直せます。転送のコードは複数の場所に置かれていることが多く、1つでも残ると再び飛ぶようになるためです。

ここでは、専門家に相談すべき条件を紹介します。

【相談すべき条件】

• 知らない通販・懸賞・アダルトのサイトに飛ぶ
• Search Console に問題が表示されている、または Google の警告が出ている
• 転送のコードを消しても、また飛ぶようになる
• 飛ばされた先で、お客さまが情報を入力した可能性がある
• 作業できる人がいない、サーバーの契約者が分からない

いまお客さまが別のサイトへ飛ばされているなら、被害は続いています。ひとりで抱え込まずに相談してください。最初の動き方はHPが改ざんされたときに最初にやることにもまとめています。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

HPが別のサイトに飛ぶ改ざんを防ぐには

別のサイトに飛ぶ改ざんを防ぐには、侵入の入口になる古いソフトと管理されていないアカウントをなくすことが基本です。改ざんの多くは、更新されていないソフトの欠陥か、漏れたパスワードから始まるためです。

ここでは、日頃から続ける対策を紹介します。

対策	中身
更新を続ける	WordPress・プラグイン・テーマ・PHP を新しく保つ。更新が止まったプラグインは代わりを探す
アカウントを見直す	使っていない管理者を消し、2段階認証を使う
外部の部品を選ぶ	扱いが明確な広告や部品を選び、使っていないものは外す
スマホで定期的に開く	月に1回、スマホで検索結果から自社のHPを開く
バックアップを取る	改ざんの前の状態に戻せるよう、定期的に取って保管する

上記を続ける人がいない場合は、保守を任せる方法もあります。更新が止まったプラグインの見分け方は更新が止まった WordPress プラグインの見分け方と、代わりの探し方で解説しています。

まとめ

• ホームページが勝手に別のサイトに飛ぶ原因は、改ざん・外部のスクリプト・ドメインや設定・閲覧者の端末の4つ
• 改ざんはスマホや検索結果から来た人だけを飛ばすことが多く、自分のパソコンで普通でも安心できない
• 改ざんなら、記録とバックアップを取ってから、転送のコードと侵入の原因の両方を取り除く
• 外部のスクリプトなら、部品を1つずつ外して転送が止まるかを確かめる

まずはスマートフォンで会社名を検索し、検索結果から自社のHPを開いて確かめてください。