ホームページがおかしい？ 改ざんの症状を見分けるチェック表と初動

ホームページの異変には、別のサイトに飛ばされる、検索結果に知らないページが出る、急に表示されなくなるなど、さまざまな症状があります。改ざん（第三者にHPを勝手に書き換えられること）が原因のものもあれば、ドメインやSSLの期限切れのように設定の問題で起きるものもあります。

症状から原因の見当をつけると、自社で直せるのか、すぐ専門家に相談すべきなのかを迷わず判断できます。改ざんは放っておくほど、HPを訪れたお客さまの被害が広がるため、最初の切り分けが重要です。

本記事では、症状別のチェック表、自社のHPが当てはまるかを10分で確かめる点検5つ、改ざんが疑われるときの初動6STEPをまとめています。さらに、症状ごとの詳しい記事への案内と、自分で直せる症状・専門家に相談すべき症状の分け方も紹介します。

ホームページがおかしいときの改ざんの症状チェック表【早見表】

ホームページの異変は、原因によって対応の急ぎ方が大きく変わります。改ざんであれば訪問者の被害を止めることが最優先で、期限切れであれば手続きで直ることが多いからです。

ここでは、HPの異変を3つの種類に分けたうえで、症状ごとの原因と緊急度を1枚の表にまとめます。

HPの異変は3つの種類に分けられる

HPの異変は、「改ざんの兆候」「止まっている・壊れている」「設定・期限の問題」の3つに分けて考えます。種類によって、調べる場所と連絡する相手が違うためです。たとえば、別のサイトに飛ばされるならサーバーの中を調べ、「保護されていない通信」と出るならSSLの設定を調べます。

HPの異変の3つの種類は、以下のとおりです。

種類	主な症状	何が起きているか
① 改ざんの兆候	別のサイトに飛ばされる／検索結果に知らないページ／Google の警告／知らない管理者アカウント	第三者がサーバーや管理画面に入り込み、ページやファイルを書き換えている可能性
② 止まっている・壊れている	表示されない／画面が真っ白／管理画面にログインできない／急に重い	サーバーの障害、更新の失敗、ドメインの期限切れなど。裏で改ざんが起きていることもある
③ 設定・期限の問題	「保護されていない通信」と出る／フォームに迷惑メールが届く	SSL（通信を暗号化する仕組み）やフォームの対策の不足

ただし、②の「真っ白になった」「ログインできない」の裏で改ざんが起きていることもあります。②や③に当てはまる場合も、①の点検をあわせて済ませておくと安心です。

症状別チェック表（症状・原因・緊急度・最初にやること）

症状ごとの原因と最初の行動を、緊急度の高い順に並べます。緊急度は、改ざんや訪問者の被害につながる可能性の高さの目安です。

症状	考えられる原因	緊急度	最初にやること
別のサイトに飛ばされる	改ざん、広告などの外部スクリプト	高	飛ばされる条件と転送先のURLを記録する
検索結果に知らない日本語・中国語のページ	改ざん（スパムページの大量作成）	高	site: 検索の結果を記録する
「危険なサイト」の警告が出る	Google が改ざん・マルウェア・フィッシングを検出	高	Search Console の「セキュリティの問題」を見る
知らない管理者アカウントがある	管理画面への侵入	高	削除する前に画面を記録し、パスワードを変える
サーバー会社から「改ざんの疑い」と連絡	不正なファイルや大量送信の検知	高	連絡の内容どおりにサーバー会社へ返信する
身に覚えのない広告やポップアップ	改ざん、広告タグやプラグインの問題	中〜高	出るページと出る端末を記録する
自社のアドレスから迷惑メールが出ている	メールアカウントの乗っ取り、なりすまし	中〜高	メールのパスワードを変える
フォームに迷惑メールが大量に届く	ボット（自動で送信するプログラム）、自動返信の悪用	中	自動返信の有無を確かめる
表示されない・真っ白・ログインできない	期限切れ、障害、更新の失敗、乗っ取り	中	ドメインとサーバーの契約状況を見る
急に重くなった	アクセスの急増、攻撃、容量不足	中	サーバー会社の障害情報を見る
「保護されていない通信」と出る	SSL が入っていない、設定が不十分	低〜中	アドレスが https か確かめる

「高」が1つでも当てはまる場合は、侵入されている前提で動いてください。いま被害が出ている場合の動き方は、HPが改ざんされたときに最初にやることにまとめています。

ホームページの改ざんとは？ 起きることと主な手口

ホームページの改ざんとは、第三者がサーバーや管理画面に不正に入り込み、ページ・ファイル・設定を持ち主に無断で書き換えることです。トップページが落書きのように書き換わる例は少なく、持ち主に気づかれないまま訪問者をだますものが中心です。

ここでは、改ざんで起きること、主な手口2つ、持ち主が気づきにくい理由の3点を解説します。

改ざんで起きること

改ざんで最も困るのは、HPを訪れたお客さまが被害を受けることです。自社のHPが、詐欺サイトへの入口やウイルスの配布元として使われるからです。たとえば、警察庁は被害の例として、身に覚えのない画像や文章の表示、個人情報の流出、閲覧した利用者のマルウェア（ウイルスなどの悪意のあるソフト）への感染を挙げています。

改ざんで起きることは、以下のとおりです。

• 訪問者が詐欺サイトに誘導される・ウイルスに感染する
• 検索結果に警告が付き、問い合わせが減る
• 問い合わせフォームなどから個人情報が漏れる
• サーバー会社にHPやメールを止められる

上記のどれもが、会社の信用と売上に直結します。症状に気づいた時点で、早めに確かめましょう。

改ざんの主な手口2つ

改ざんの入口は、大きく「ソフトの脆弱性」と「ログイン情報の悪用」の2つです。古いソフトの欠陥を突くか、正規のログイン情報で入るかのどちらかで、サーバーに入り込むためです。

手口	中身	狙われやすい状態
脆弱性（ソフトの欠陥）を突く	WordPress・プラグイン・PHP などの欠陥を使い、外から不正なファイルを置く	長く更新していない、更新が止まったプラグインを使っている
ログイン情報を悪用する	漏れた・推測されたパスワードで管理画面やFTP（ファイルを転送する仕組み）に入る	簡単なパスワード、退職者や前の制作会社と共有したまま

たとえば、2026年10月21日には、PHP 本体の脆弱性 CVE-2026-109618／109619（通称 php2shell）が php.net で公表されました。ログインなしで外部からプログラムを実行される恐れがあるもので、IPA と JPCERT/CC も10月22日に注意喚起を出しています（IPA、JPCERT/CC）。

ただし、PHP 8.1 以前はサポートが終わっているため通常の修正版が出ず、最小限の修正コードしか用意されていません。詳しくはPHP の重大な脆弱性、中小企業のHPで今やることを見てください。

改ざんが持ち主に気づかれにくい理由

改ざんの多くは、持ち主が見ても分からないように作られています。持ち主に気づかれると消されてしまうため、攻撃者は見せる相手を選ぶからです。

Google の解説やガイドでは、以下のような例が紹介されています。

• スマートフォンで見た人や、検索結果から来た人だけを別のサイトへ飛ばす
• 検索ロボットにだけスパムのページを見せ、ふつうの訪問者には見せない（クローキング）
• 不正なページを「ページが見つかりません」と見せかけ、消えたように装う

毎日HPを見ている担当者ほど、パソコンのブックマークから開くため、条件付きの改ざんに気づけません。「自分のパソコンで見ると普通」は、改ざんされていない証拠にならないと考えてください。

改ざんを疑うHPの症状8つと、確かめ方

改ざんの症状は、HPの表示・検索結果・管理画面・メールのどこに出るかで、確かめ方が変わります。症状ごとに調べる場所を知っておくと、慌てずに次の行動を選べます。

ここでは、改ざんを疑う症状を8つに分け、それぞれの要点と詳しい記事を紹介します。

別のサイトに飛ばされる

HPを開くと無関係なサイトに飛ばされる症状は、改ざんの典型です。.htaccess（サーバーの動きを決める設定ファイル）やテーマのファイルに、転送のコードを仕込まれることが多いためです。たとえば、パソコンでは普通でも、スマートフォンで検索結果から開いたときだけ懸賞サイトに飛ばされる例があります。

ただし、HPに貼った広告や外部のスクリプトが原因のこともあります。切り分けの手順はホームページが勝手に別のサイトに飛ぶ原因と対処で解説しています。

検索結果に知らないページが出る

会社名で検索したときに、自社のドメインで知らない通販のページや中国語のページが出るなら、サーバーにスパムページを置かれています。Google はこの手口を「日本語キーワードによるハッキング」と呼び、ランダムな名前のフォルダ（例：/ltjmnjp/341.html）にページを大量に作る特徴を挙げています。

ただし、他人のサイトが自社の名前を使っているだけのこともあります。見分け方は検索結果に知らないページが出る原因と消し方（中国語・日本語スパムのページ）を見てください。

Google の「危険なサイト」の警告が出る

Chrome で赤い警告画面が出る、検索結果に「ハッキングされている可能性があります」と付く場合は、Google が改ざん・マルウェア・フィッシングを検出しています。Search Console の「セキュリティの問題」レポートに、原因と影響を受けたURLの例が表示されます。

ただし、警告を外すには、直したうえで審査をリクエストする必要があります。手順は「このサイトは危険です」の表示を解除する方法と、Search Console に「セキュリティの問題」と出たときの対処にまとめています。

知らない広告が出る・ウイルスを配っていないか心配

身に覚えのない広告やポップアップは、改ざんでコードを埋め込まれた場合と、広告タグやプラグインの問題の場合があります。どのページで、どの端末のときに出るかを記録すると、原因をしぼり込めます。

詳しくはHPに身に覚えのない広告やポップアップが出るときの対処と、自社のHPがウイルスを配っていないか確認する方法で解説しています。

知らない管理者アカウント・サーバー会社からの連絡

WordPress の「ユーザー」に知らない管理者がいる場合は、管理画面に入られています。サーバー会社から「改ざんの疑い」「不正なファイル」と連絡が来た場合も、侵入の可能性が高い状態です。

対処はWordPress に知らない管理者アカウントが増えているときにやることと、サーバー会社から「改ざんの疑い」と連絡が来たときにやることにまとめています。

メールやフォームに異変がある

メールやフォームの異変も、HPの異常のサインです。フォームの自動返信を悪用されると、自社のサーバーが第三者への迷惑メールの送り元になるためです。たとえば、取引先から「御社から変なメールが来た」と言われる、エラーで戻ってきたメールが大量に届くといった形で気づきます。

詳しくは問い合わせフォームに迷惑メールが大量に来るときの対策7つと、自社のアドレスから迷惑メールが送られているときの対処を見てください。

表示されない・真っ白・重い・ログインできない

HPが表示されない、画面が真っ白、急に重い、ログインできないといった症状は、多くが期限切れ・障害・更新の失敗によるものです。ただし、乗っ取りでパスワードを変えられた、不正なファイルで動作が重くなったなど、改ざんが原因のこともあります。

症状ごとの確認順は、以下の記事で解説しています。

• HPが急に表示されなくなったときの確認順（ドメイン・サーバー・SSL）
• WordPress の画面が真っ白になったときの原因と直し方
• HPが急に重くなった原因の見分け方（攻撃・アクセス・容量）
• WordPress の管理画面にログインできないときの原因と対処

上記の確認で原因が分からない場合は、改ざんの点検もあわせて進めてください。

「保護されていない通信」と出る

アドレスバーに「保護されていない通信」と出るのは、HPが https で開かれていないという表示で、改ざんの警告ではありません。ただし、お問い合わせフォームに入力された内容を守れない状態なので、早めに直す対象です。

あわせて読みたい
「保護されていない通信」と表示される原因と消し方

自社のHPが改ざんされていないか確かめる【10分の点検5つ】

症状に心当たりがなくても、改ざんが進んでいることがあります。条件付きの改ざんは、ふだんの見方では表に出ないためです。

ここでは、専門の道具を使わずに10分ほどでできる点検を5つ紹介します。点検は自社のHPに対してだけ行ってください。

【点検1】Google で site: 検索をする

site: 検索は、Google に登録されている自社のページを一覧で確かめる方法です。作った覚えのないページがあれば、スパムページを置かれた疑いがあるとすぐに分かるからです。たとえば、Google の検索窓に site:example.co.jp のように自社のドメインを入れて検索します。

【確認ポイント】

• 作った覚えのないページ（商品名の羅列、不自然な日本語、中国語）がないか
• 意味の分からない英数字のフォルダ名のURLがないか
• 説明文に自社と関係のない言葉が出ていないか

ただし、見つけたページのリンクはむやみに開かず、URLの記録だけにしてください。警察庁も、site: 検索で自社と無関係なページが出ていないかを調べる方法を紹介しています。

【点検2】スマートフォンで検索結果から開く

スマートフォンで会社名を検索し、検索結果のリンクから自社のHPを開きます。スマートフォンの人や検索結果から来た人だけを狙う改ざんは、点検2でしか見つからないためです。Google も、モバイルのシークレットモード（閲覧履歴を残さないモード）でサイトを開き、意図しない転送や不審な広告がないかを確かめる方法を案内しています。

【確認ポイント】

• 別のサイトに飛ばされないか
• 見覚えのない広告やポップアップが出ないか
• パソコンで見たときと同じ内容か

ただし、飛ばされた先のサイトでは何も入力せず、何もダウンロードしないでください。

【点検3】Search Console を見る

Search Console（Google が無料で提供する、検索での表示状況を確かめるツール）は、Google が見つけた問題を確かめられる場所です。改ざんの検出や、知らない人の所有者登録が表示されるからです。

見るところ	確認すること
「セキュリティの問題」レポート	問題が検出されていないか
「設定」→「ユーザーと権限」	知らない所有者やユーザーがいないか
届いているメッセージ	「新しい所有者」「ハッキングの疑い」などの通知がないか

Google のヘルプでは、覚えのない所有者がいる場合はサイトがハッキングされている可能性があると説明されています。Search Console を使っていない場合は、制作会社や保守会社に確認を頼んでください。

【点検4】管理画面とサーバー会社からの連絡を見る

WordPress の管理画面とサーバー会社からのお知らせも、改ざんの手がかりになります。攻撃者は管理者アカウントを足して再び入れるようにすることがあり、サーバー会社は不正なファイルを検知すると連絡してくるためです。

【確認ポイント】

• WordPress の「ユーザー」に、知らない「管理者」がいないか
• サーバー会社から「改ざん」「不正なファイル」「大量送信」の連絡がないか（迷惑メールのフォルダも見る）
• お客さまや取引先から「HPがおかしい」と言われていないか

ただし、知らないアカウントを見つけても、すぐに消さずに画面を記録してから対処してください。

【点検5】改ざんされやすい状態になっていないか

症状がなくても、古いソフトで動いているHPは改ざんされやすい状態です。脆弱性が公表されると、古いHPを自動で探す攻撃がすぐに始まるためです。たとえば、PHP や WordPress のバージョンが分からないまま何年も放置しているHPは、点検5の対象です。

【確認ポイント】

• WordPress やプラグインを長く更新していないか（WordPress を更新しないで放っておくとどうなる？）
• PHP のバージョンが古い、または分からないか（自社HPの PHP バージョンを確認する方法）
• 更新が止まったプラグインを使っていないか（更新が止まった WordPress プラグインの見分け方と、代わりの探し方）
• 管理画面のパスワードを、退職者や前の制作会社と共有したままか

上記に当てはまるものがあれば、症状が出る前に手を打つ対象です。

HPの改ざんが疑われるときの初動【6STEP】

改ざんが疑われるときは、直すことより先に、被害を広げない準備を整えることが重要です。順番を間違えると、侵入の経路が分からなくなり、同じ穴から再び書き換えられるためです。

ここでは、チェック表で「高」に当てはまったときの初動を6つの手順で紹介します。

1. 見たものを記録する：転送先のURL、警告の画面、知らないページのURL、気づいた日時を、スクリーンショットとメモで残す
2. サイト全体のバックアップを取る：サーバー上のファイルとデータベースを丸ごと保存する。改ざんされた状態のものも、原因を調べる材料になる（WordPress のバックアップの取り方と、戻せるかの確認）
3. サーバー会社・制作会社・保守会社に連絡する：誰が作業するかを決める。契約者が分からない場合はHPの「持ち主」を取り戻すを先に読む
4. パスワードを変える：サーバーの管理画面、FTP、WordPress の管理者、データベースを、それぞれ別の新しいものにし、使えるなら2段階認証をオンにする
5. 不正なファイルを取り除き、侵入の原因をふさぐ：不正なファイル・ページ・アカウントの除去と、古い WordPress・プラグイン・PHP の更新を、専門家と進める
6. Google の警告が出ていれば審査をリクエストする：直したあとに Search Console の「セキュリティの問題」から申し込む

Google の修正ガイドでは、ハッキングされたサイトの約20%が1日以内に再びハッキングされたという調査結果が紹介されています。不正なファイルを消すだけで終わらせず、手順5で侵入の原因までふさいでください。

WordPress の詳しい復旧の流れはWordPress が乗っ取られたときの復旧の流れにあります。

HPの改ざんの対処でやってはいけない4つのこと

改ざんに気づいた直後は、早く元に戻したい気持ちから、調査の手がかりを消してしまうことがあります。慌てたときほど起きやすい失敗を、先に知っておくと防げます。

ここでは、対処の途中でやってはいけないことを4つ紹介します。

やってはいけないこと	困ること
怪しいファイルをいきなり消す	どこから入られたかの手がかりも消える
WordPress を最新にしただけで終わらせる	置かれた不正なファイルやアカウントが残る
アクセスログを消す・サーバーを解約する	侵入の経路と時期、個人情報の漏えいの有無を調べられなくなる
直す前に Google に審査を申し込む	結果が遅れたり、違反を繰り返すサイトとして扱われたりするおそれがある

上記の4つを避けるだけで、復旧までの時間と費用を抑えやすくなります。

なお、問い合わせフォームやネットショップで個人情報を預かっている場合は、漏えいの報告が必要になることもあります。制度は個人情報が漏れたときの報告義務（個人情報保護委員会）で解説しています。個別の判断は弁護士に確認してください。

自分で直せるHPの症状と、専門家に相談すべき症状

HPの症状は、自社で直しやすいものと、すぐ専門家に相談すべきものに分かれます。侵入されているかどうかで、必要な作業と知識が大きく変わるためです。

ここでは、症状ごとの判断の目安を表で示します。

自社で対応しやすい症状	専門家にすぐ相談したほうがよい症状
フォームの迷惑メール（自動返信を止める、reCAPTCHA を入れる）	別のサイトへ飛ばされる
「保護されていない通信」（サーバーの無料SSLを入れる）	検索結果に知らないページが出る
ドメイン・SSLの期限切れ（更新の手続き）	Google の「危険なサイト」の警告
パスワードを忘れた（正規の再設定手順で戻す）	知らない管理者アカウントがある
更新の失敗で真っ白になった（バックアップから戻す）	サーバー会社から改ざんの連絡が来た

左の列でも、作業中に「知らないファイルがある」「設定が勝手に変わっている」と気づいたら、右の列として扱ってください。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。すでにお客さまが別のサイトへ飛ばされているなど、いま被害が出ているなら、ひとりで抱え込まずに相談してください。

HPの改ざんを防ぐために日頃からやること

改ざんの予防は、特別な製品より、更新・アカウント・バックアップ・監視の4つを続けることが基本です。改ざんの入口の多くが、古いソフトと管理されていないログイン情報だからです。

ここでは、日頃からやることを4つ紹介します。

• WordPress・プラグイン・PHP を更新し続ける：更新が止まったプラグインは代わりを探す
• ログイン情報を管理する：人ごとにアカウントを分け、退職者や前の制作会社のアカウントを消し、2段階認証を使う
• バックアップを取り、戻せるか確かめる：警察庁も、定期的にバックアップを取り、正常な内容と比べて不正なファイルがないか確かめることを勧めている
• 月に1回、点検1〜4を繰り返す：担当者を決め、予定に入れる

上記を続ける人がいない場合は、保守を外部に任せる方法もあります。保守で何をしてもらえるかはホームページの保守は必要？ やらないとどうなるか、HP全体の守り方は中小企業のホームページ、安全に持ち続けるための教科書で解説しています。

まとめ

• ホームページの異変は「改ざんの兆候」「止まっている・壊れている」「設定・期限の問題」の3つに分けて考える
• 改ざんはスマートフォンや検索結果から来た人にだけ出ることが多く、自分のパソコンで普通でも安心できない
• site: 検索、スマートフォンで検索結果から開く、Search Console、管理画面、古さの5つの点検で、10分ほどで当てはまるか確かめられる
• 改ざんが疑われたら、記録とバックアップを取ってから連絡し、ファイルやログを先に消さない

まずは点検1と点検2を今日のうちに試し、当てはまる症状があれば、症状ごとの記事に沿って進めてください。