ホームページの改ざんの対処、最初にやること【6STEP】

ホームページの改ざんは、トップページの書き換えのように見て分かるものから、別のサイトへの転送や、閲覧した人にウイルスを配る見えないものまで、さまざまな形で起きます。気づいたときに何から手をつけるかで、お客さまへの被害と、復旧までの時間が変わります。

最初にやることと手順の順番を知っておくと、慌てて証拠を消したり、見た目だけ直して再び改ざんされたりせずに済みます。サーバー会社や専門家に相談するときも、話が早く進みます。

本記事では、ホームページの改ざんの対処で最初にやること、改ざんの手口と被害、自社のHPが改ざんされているかの確かめ方をまとめています。さらに、対処の6STEPと、再発を防ぐ対策も紹介します。

ホームページの改ざんに気づいたら最初にやること【早見表】

ホームページの改ざんの対処で最初にやることは、画面の記録、サーバー会社と相談して公開を止めること、ログやファイルを消さないことの3つです。どの症状でも、この3つを済ませてから原因の調査に進みます。

ここでは、症状ごとに考えられる原因と、最初にやることを早見表にまとめます。当てはまる症状の行から実行してください。

症状	考えられる原因	最初にやること
トップページに知らない文章・画像が出る	表示の書き換え	画面を撮り、サーバー会社に公開を止めるか相談する
開くと別のサイトに飛ばされる	転送（リダイレクト）の埋め込み	スマホ・パソコン両方で症状を記録し、サーバー会社に連絡する
検索結果に知らない日本語・中国語のページが出る	スパムページの追加	検索結果の画面を撮り、サーバー会社に連絡する
ブラウザや検索結果に「危険なサイト」と出る	ウイルスを配るプログラムの埋め込み	公開を止め、Search Console で内容を確かめる
サーバー会社から「改ざんの疑い」と連絡が来た	不正なファイルの設置	連絡の内容を残し、指示に従う

※web.dev・警察庁の案内をもとに作成（2026年10月時点）

改ざんされたHPを開いた人は、詐欺サイトに飛ばされたり、ウイルスを配られたりするおそれがあります。お客さまを守るために、公開を止めるかの判断を最初にすることが大切です。アカウントの乗っ取りやランサムウェアなど、ほかの症状も同時に起きている場合は、サイバー事故の対応、最初の1時間でやることから確かめてください。

ホームページの改ざんとは。手口と被害

ホームページの改ざんとは、持ち主の知らないうちに、HPの文章やプログラムを第三者に書き換えられることです。見た目が変わらないまま裏で悪さをする改ざんもあるため、持ち主が気づくのが遅れがちです。

ここでは、改ざんの種類、入られる手口、改ざんで起きる被害の3つを解説します。手口を知っておくと、STEP4で原因をふさぐときに何を確かめるかが分かります。

ホームページの改ざんの5つの種類

ホームページの改ざんは、起きることによって5つの種類に分けられます。見た目で分かる種類と分からない種類があり、気づき方も変わるからです。たとえば、裏口（バックドア）の設置は見た目がまったく変わらないため、サーバー会社の検知で初めて分かることが多くあります。

改ざんの種類と起きることは、以下のとおりです。

改ざんの種類	起きること	見た目で分かるか
表示の書き換え	トップページが別の文章や画像に変わる	分かる
転送（リダイレクト）	開くと詐欺サイトや広告のサイトに飛ばされる	条件による（スマホだけ・検索から来たときだけ等）
スパムページの追加	検索結果に身に覚えのないページが大量に出る	検索しないと分からない
不正なプログラムの埋め込み	閲覧した人にウイルスを配る、入力されたカード情報を盗む	分からない
裏口（バックドア）の設置	あとから何度でも入れるように、不正なファイルが置かれる	分からない

1つの改ざんで、複数の種類が同時に起きていることもあります。

改ざんの手口は「脆弱性を突く」と「管理アカウントの乗っ取り」

ホームページが改ざんされる手口は、大きく「ソフトの脆弱性を突く」と「管理アカウントを乗っ取る」の2つです。どちらも、HPを作ったあとに更新や管理が止まっていると狙われやすくなります。たとえば、何年も更新していない WordPress のプラグインは、公表済みの脆弱性を突かれる入口になります。

2つの手口の中身は、以下のとおりです。

• 脆弱性を突く：WordPress・プラグイン・PHP（HPを動かすプログラムの言語）などの欠陥を使って入られる。修正版が出る前に狙われる「ゼロデイ攻撃」もある
• 管理アカウントの乗っ取り：使い回しのパスワードを試される（リスト型攻撃）、偽のメールでログイン情報を盗まれる、退職者や制作会社のアカウントが残っている

2026年10月21日には、php.net が PHP の重大な脆弱性 CVE-2026-109618／109619（通称 php2shell）の修正版（PHP 8.5.12／8.4.27／8.3.36／8.2.35）を公開し、IPA と JPCERT/CC も10月22日に注意喚起を出しました（※2026年10月時点・php.net、IPA、JPCERT/CC より）。どちらもログインなしで外からプログラムを実行されるおそれがある脆弱性で、PHP 8.1 以前には通常の修正版が出ません。くわしくはPHP の重大な脆弱性、中小企業のHPで今やることで確かめてください。

改ざんで起きる被害

ホームページの改ざんで起きる被害は、自社だけでなく、HPを訪れたお客さまにも及びます。改ざんされたHPが、詐欺やウイルスを広げる道具として使われるからです。たとえば、問い合わせフォームが改ざんされると、入力されたお客さまの名前や連絡先が盗まれるおそれがあります。

改ざんで起きる主な被害は、以下のとおりです。

• 訪問者のウイルス感染：閲覧しただけで不正なプログラムが送り込まれる
• 詐欺サイトへの誘導：偽のショップやフィッシングサイトに飛ばされる
• 情報の漏えい：フォームやショップに入力された情報が盗まれる
• 集客の停止：Google に「危険なサイト」と表示され、検索や広告からの訪問が止まる
• 信頼の低下：取引先やお客さまから、管理の甘い会社と見られる

上記の被害は、改ざんに気づくのが遅れるほど広がります。

自社のホームページが改ざんされているか確かめる方法

自社のホームページが改ざんされているかは、見た目・検索結果・Search Console・サーバー会社の連絡・管理画面の5か所で確かめます。自分のパソコンで開いて正常に見えても、スマホや検索結果から来たときだけ転送される改ざんもあるためです。

ここでは、改ざんの確かめ方を2つに分けて紹介し、相談の前にそろえる情報もまとめます。確かめるのは自社のHPだけにしてください。

見た目と検索結果で確かめる

見た目と検索結果の確認は、HPの担当者が今日からできる確かめ方です。特別な道具が要らず、ブラウザとスマホだけで確かめられるからです。たとえば、Google で「site:自社のドメイン」と検索すると、自社のHPとして登録されているページの一覧が出るため、身に覚えのないページが混ざっていないかを見られます。

見た目と検索結果で確かめる項目は、以下のとおりです。

• トップページや一部のページに、見覚えのない文章・画像・広告が出ないか
• スマホと検索結果のリンクから開いたとき、別のサイトに飛ばされないか
• 「site:自社のドメイン」の検索結果に、知らないページが出ないか
• 検索結果やブラウザに「危険なサイト」「ハッキングされている可能性があります」と出ないか

1つでも当てはまれば、改ざんを疑って「最初にやること」に戻ってください。症状ごとの見分け方は、HPを開くと別のサイトに飛ばされる原因と対処と検索結果に身に覚えのないページが出るにまとめています。

Search Console・サーバー会社・管理画面で確かめる

Search Console・サーバー会社の連絡・管理画面は、見た目では分からない改ざんに気づくための確認先です。裏口の設置や不正なプログラムの埋め込みは、外から見ても分からないことが多いからです。たとえば、Search Console（Google がサイトの持ち主向けに出している無料の管理画面）の「セキュリティの問題」には、Google が見つけた問題が表示されます。

確認先と見ることを、表にまとめます。

確認先	見ること
Search Console の「セキュリティの問題」	Google が見つけたハッキングやマルウェアの指摘がないか
サーバー会社からのメール・管理画面のお知らせ	「改ざんの疑い」「不正なファイルを検知」の連絡がないか
WordPress の管理画面の「ユーザー」	知らない管理者アカウントが増えていないか
WordPress の管理画面の「プラグイン」	入れた覚えのないプラグインがないか

※2026年10月時点の画面の名前です

知らない管理者アカウントを見つけた場合は、WordPress に知らない管理者アカウントが増えているときにやることの手順で扱います。

相談の前にそろえる3つの情報

サーバー会社や専門家に相談する前に、契約先・作った会社・HPの仕組みの3つをそろえておきます。改ざんの対処はサーバーの管理画面やファイルを扱うため、だれが何の権限を持っているかが分からないと作業が進まないからです。たとえば、サーバーの契約者が辞めた担当者の個人名義だと、ログイン情報の確認だけで時間がかかります。

相談の前にそろえる情報は、以下のとおりです。

そろえる情報	どこで見るか
サーバーの契約先とログイン情報	サーバー会社からの契約メール、請求書
HPを作った会社・保守を頼んでいる会社	契約書、請求書
HPの仕組み（WordPress かどうか）	制作会社に聞く、管理画面のURL

だれが契約しているか分からない場合は、HPの「持ち主」を取り戻すを先に読んでください。

ホームページの改ざんに対処する手順【6STEP】

ホームページの改ざんの対処は、公開を止める・証拠を残す・パスワードを変える・原因を調べて直す・公開を戻す・関係者に連絡する、の6STEPで進めます。順番を飛ばすと、証拠が消えたり、同じ入口から再び改ざんされたりするためです。

ここでは、6つのSTEPを順に解説します。STEP4は専門家の作業になることが多いので、自社でやる範囲と頼む範囲を分けて読んでください。

STEP	やること	だれがやるか
1	公開を止める	サーバー会社・制作会社と相談して
2	証拠を残す	自社（ファイルとログの取得はサーバー会社・専門家）
3	パスワードをすべて変える	自社
4	原因を調べてから直す	専門家・制作会社
5	公開を戻し、Google の警告を外す	自社・専門家
6	関係者への連絡と届け出	自社

【STEP1】公開を止める

改ざんに気づいたら、サーバー会社や制作会社と相談し、HPを一時的に見られないようにします。改ざんされたHPを開いた人に、被害が広がるのを止めるためです。たとえば、web.dev では、Webサーバーを止めるか、メンテナンス中のページ（503という「一時的に使えません」を表すステータスを返すページ）を表示する方法が紹介されています。

ただし、検索エンジンに表示させない設定（robots.txt）だけでは、閲覧する人を守るには足りないとされています。止めている間は、電話やメールで問い合わせを受けられるようにしておきましょう。

【STEP2】証拠を残す

直す前に、改ざんされた状態のまま、ファイルとログを丸ごと残します。どこから入られ、何をされたかを調べる手がかりになるからです。たとえば、web.dev は、感染した状態のままファイルとデータベースのバックアップを取り、作業はそのコピーで行うよう案内しています。

残すものは、以下のとおりです。

• サーバーのファイル一式とデータベース（「感染」と分かる名前をつけて別に保管）
• サーバーのアクセスログ・エラーログ（残る期間はサーバー会社によって違うため、早めに取り出す）
• 改ざんされた画面の記録と、時系列のメモ

警察庁も、被害に遭ったときの対処の1つに「アクセスログ等を保存する」を挙げています。

【STEP3】パスワードをすべて変える

パスワードは、HPに関わるアカウントのすべてを、安全なパソコンから変えます。どのアカウントから入られたか分からない段階では、1つでも古いままにすると、そこから入り直されるからです。たとえば、web.dev と WordPress.org のガイドは、どちらも FTP・データベース・管理者・CMS（WordPress などHPの管理システム）を含むすべてのアカウントのパスワードを変えるよう案内しています。

変えるものと補足を、表にまとめます。

変えるもの	補足
サーバー会社の管理画面（コントロールパネル）	権限がいちばん強い。二段階認証があれば設定する
FTP・SFTP のアカウント	ファイルを直接書き換えられる
データベースのパスワード	変えたら、HPの設定ファイル側も合わせて直す（制作会社に頼む）
WordPress などの管理画面のユーザー	知らないユーザーは、名前を記録してから削除する

ただし、パスワードはHPをきれいにしたあとに、もう一度変えます。WordPress.org のガイドも、きれいになったのを確かめてから再び変えるよう書いています。

【STEP4】原因を調べてから直す

HPを直す作業は、入られた原因を調べてから進めます。原因がふさがっていなければ、見た目を戻しても同じ入口からまた改ざんされるからです。たとえば、web.dev では、きれいなバックアップを戻し、ソフトを最新にし、使っていないプラグインなどを削除したうえで、入られた原因（脆弱性）を直す流れが案内されています。

原因を調べて直すときに確かめることは、以下のとおりです。

1. 入られた入口（古いプラグイン・古い PHP・漏れたパスワードなど）を特定する
2. 戻すバックアップが、改ざんされる前の日時のものかを確かめる
3. 不正なファイルが、改ざんされたページ以外に残っていないかを確かめる
4. WordPress・プラグイン・PHP を更新し、使っていないものを削除する

なお、WordPress.org のガイドによると、管理画面の再インストール機能は既存のファイルを上書きするだけのことが多く、攻撃者が新しく置いたファイルは残ります。WordPress で作ったHPなら、WordPress が乗っ取られたときの復旧の流れで確かめてください。

【STEP5】公開を戻し、Google の警告を外す

公開を戻すのは、原因を直し、不正なファイルが残っていないことを確かめてからです。急いで公開を戻すと、残っていた裏口から再び改ざんされることがあるからです。たとえば、Google に「危険なサイト」と表示されている場合は、Search Console の「セキュリティの問題」から審査をリクエストし、何をどう直したかを説明します。

web.dev の案内では、審査にかかる期間はマルウェアで数日、スパムのハッキングで最長数週間です（※2026年10月時点・web.dev より）。手順はSearch Console に「セキュリティの問題」と出たときの対処とGoogle で「危険なサイト」と表示される原因と解除のしかたにまとめています。

【STEP6】関係者への連絡と届け出

最後に、被害の内容に応じて、お客さま・取引先への連絡と、公的な窓口への届け出を進めます。情報の漏えいがあった場合は、法律で報告が決まっているものもあるためです。たとえば、問い合わせフォームの情報が盗まれたおそれがあれば、個人情報保護委員会への報告が必要かを確かめます。

連絡と届け出の先は、以下のとおりです。

状況	連絡・届け出の先
フォームや会員の個人情報が盗まれたおそれがある	個人情報保護委員会（個人情報が漏れたときの報告義務）
ショップのカード入力画面が改ざんされていた	カード会社・決済代行会社（ネットショップでカード情報が漏れたかもしれないとき）
不正アクセスの被害を届けたい	都道府県警察のサイバー犯罪相談窓口・最寄りの警察署（全国統一のオンライン受付もある）
初動の支援を受けたい	JPCERT/CC（Webフォーム・メールで受付。電話は原則受け付けていない）
閲覧した人に被害が出たおそれがある	HPでのお知らせ、取引先への連絡

お知らせを出す場合は、確かめていないことを「被害はありません」と言い切らず、分かっていることと調べていることを分けて書きましょう。

ホームページの改ざんで専門家に相談すべきとき

ホームページの改ざんで専門家に相談すべきなのは、原因が分からないときと、個人情報やカード情報が関わるときです。サーバーのログの解析や不正なファイルの洗い出しには、専門の知識と道具が要るためです。

ここでは、専門家に相談すべき条件と、自分でできることの境目を紹介します。いま被害が出ているなら、ひとりで抱え込まずに相談してください。

専門家に相談すべき条件は、以下のとおりです。

• どこから入られたか分からない、または直しても再び改ざんされる
• フォームやショップの個人情報・カード情報が関わる
• サーバーのログの取り方やFTPの使い方が分からない
• 制作会社と連絡が取れない、または作業できる人がいない

自分でできることと専門家に頼むことを、表で比較します。

自分でできること	専門家に頼むこと
画面の記録、時系列のメモ	ログの解析、入られた原因の特定
サーバー会社・制作会社への連絡	不正なファイルの洗い出しと除去
安全な端末からのパスワード変更	WordPress・プラグイン・PHP の更新と動作確認
警察・相談窓口への連絡	Google への審査リクエストの文面づくり

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

ホームページの改ざんを防ぐ対策8つ

ホームページの改ざんを防ぐには、ソフトの更新とアカウントの管理を続けることが基本です。一度改ざんされたHPは、同じ手口で再び狙われやすいため、復旧したあとの管理が重要になります。

ここでは、警察庁の「ウェブサイト改ざん対策」の予防策をもとに、中小企業が取り組みやすい対策を8つ紹介します。自社でできるものと、保守会社に頼むものを分けて確認してください。

対策	中身
1. ソフトを最新に保つ	サーバーのOS・PHP・WordPress・プラグインを更新する
2. 管理者のログイン情報を管理する	使い回さない。二段階認証を設定する
3. 不要なアカウント・サービスを消す	退職者や前の制作会社のアカウントを削除する
4. 公開しないファイルを置かない	古いバックアップや作業用のファイルを公開の場所に残さない
5. WAF を入れる	WAF（Webサイトへの攻撃を手前で止める仕組み）を使う
6. ファイルの送り方を暗号化する	FTP ではなく SFTP を使う
7. バックアップを取り、比べる	定期的に取り、正常な状態と比べて不正なファイルがないかを見る
8. 改ざんに早く気づく仕組みを持つ	改ざん検知、Search Console の通知を受け取る

※警察庁「ウェブサイト改ざん対策」の予防策をもとに作成（2026年10月時点）

上記のうち、1と3はHPを作ったあとに止まりやすい作業です。更新を続けられない場合は、WordPress を更新しないで放っておくとどうなる？とHPの保守会社を選ぶときに確認する10項目を参考に、保守の体制を見直しましょう。

まとめ

• ホームページの改ざんの対処は、画面の記録・サーバー会社と相談して公開を止める・ログを消さない、から始める
• 自社のHPは、見た目・検索結果・Search Console・サーバー会社の連絡・管理画面の5か所で確かめる
• パスワードはすべて安全な端末から変え、HPをきれいにしたあとにもう一度変える
• 見た目を戻すだけで終わらせず、古い WordPress や PHP など入られた原因をふさいでから公開を戻す
• 個人情報やカード情報が関わるときは、報告や連絡が必要かを早めに確かめる

自力での対処が難しい場合は、専門家への相談か無料診断を利用してください。