ホームページの改ざんは、運営している企業が気づかないうちに起きることもあります。改ざんに気づくのが遅れると、訪問者のパソコンやスマホがウイルスに感染したり、問い合わせフォームの入力内容が盗まれたり、検索結果に警告が表示されてアクセスが減ったりと、被害が広がっていきます。会社の信用にも関わるので、早く気づいて正しい順番で対応することが大切です。
ここでは、ホームページの改ざんに気づきにくい理由と気づく方法、改ざんに気づいたら制作会社に頼む前にやること、復旧を頼むときに伝えることを紹介します。当社がホームページ制作時に行っている改ざん対策や、WordPressの改ざんが起きやすいホームページの特徴もあわせて紹介します。
ホームページの改ざんに気づきにくい理由
ホームページの改ざんは、被害が出ていても運営している企業が気づかないまま続いてしまうことがあります。ここでは、改ざんに気づきにくい主な理由を紹介します。
見た目を変えない改ざんもある
ホームページの改ざんというと、トップページが別の画像や文章に書き換えられる様子を思い浮かべる方が多いかもしれません。
しかし実際には、ページの見た目をまったく変えずに行われる改ざんもあります。たとえば、ページのソースに訪問者からは見えないリンクや文章を埋め込む手口や、既存のページはそのままにして、身に覚えのないページをサイト内に追加する手口です。
Googleはスパムに関するポリシーの中で、ウェブマスターやユーザーには見つけにくいようにコンテンツを追加する手口を紹介しています。
見た目が変わらなければ、ホームページを開いても普段どおりに見えるので、改ざんされていることに気づけません。その間も、埋め込まれた不正なプログラムによって、ホームページを訪れたユーザーのパソコンやスマホがウイルスに感染するおそれがあります。
スマホや検索結果から来た人だけが別のホームページへ転送される
訪問者を有害なページや無関係なページへ転送するホームページの改ざんがあります。
この転送は、すべての訪問者に起きるとは限りません。スマホで見ている人だけ、Googleの検索結果から来た人だけといったように、条件を絞って転送する手口があります。Googleはスパムに関するポリシーの中で、検索結果からクリックすると不審なページへ転送されても、同じURLにブラウザから直接アクセスすると転送されない場合があると説明しています。
自社のホームページを確認するとき、パソコンでURLを直接入力したり、ブックマークから開いたりする方は多いと思います。その開き方では転送が起きないので、改ざんされたホームページでも正常に見えてしまいます。実際に転送されているのは、検索からホームページを訪れたユーザーです。
WordPressで管理画面にログインしている人には正常に表示される
WordPressで制作したホームページの改ざんでは、管理画面にログインしている人には正常なページを表示し、ログインしていない訪問者にだけ転送などを行う手口が確認されています。
セキュリティ会社のSucuriが2025年に公開した解析では、WordPressの正規の部品に見せかけた不正なプラグインが訪問者を不審なホームページへ転送しており、ログイン中の管理者は転送されないようになっていました。
WordPressで制作したホームページを運営していると、管理画面にログインしたまま同じブラウザで自社のページを確認することがよくあります。改ざんを仕掛ける側は、ホームページの担当者が最も目にする状態で異常が見えないようにしているわけです。担当者が毎日ホームページを見ていても、ログインしたままでは改ざんに気づけません。
自社のホームページを普段見る機会が少ない
ホームページを公開した後、自社のホームページを見る機会は意外と少ないものです。お知らせやブログを更新する担当者でも、確認するのは更新したページだけで、トップページや会社案内、サービスページを訪問者と同じように見て回ることはあまりありません。更新を制作会社に任せている企業では、何か月もホームページを開かないこともあります。
見る機会が少なければ、ホームページが改ざんされても、運営している企業はすぐには気づけません。見た目が変わる改ざんであっても、担当者が次にそのページを開くまで、改ざんされたままの状態が続いてしまいます。
その間もホームページは公開されているので、訪れたユーザーがウイルスに感染したり、改ざんされたページを見て会社への信用をなくしたりする被害が広がっていきます。
訪問者が異常に気づいても知らせてくれることはほとんどない
訪問者が改ざんされたホームページを見て異常に気づいたとしても、そのことを運営している企業に知らせてくれることはほとんどありません。別のホームページへ転送された訪問者は、開こうとしたホームページが改ざんされているとは考えず、怪しいホームページだと思ってそのまま離れていきます。わざわざ問い合わせフォームや電話で知らせてくれる人はまれです。
そのため、ホームページの改ざんは訪問者からの連絡で発覚することを期待できません。運営している企業が自分たちで気づく方法を知っておく必要があります。
ホームページの改ざんに気づく方法
ホームページの改ざんは、確認する方法を知っていれば、専門知識がなくても自社で見つけやすくなります。ここでは、運営している企業でできる確認方法を紹介します。
ホームページのデザインや文章に変わったところがないか確認する
ホームページの改ざんに気づくための基本は、自社のホームページを実際に開いて確認することです。
トップページの画像や文章が見覚えのないものに変わっていないか、知らない広告やリンクが表示されていないか、レイアウトの崩れや文字化けが起きていないかを見ていきます。更新しているページだけでなく、会社案内やサービスページ、問い合わせフォームなど、普段開かないページまで順番に見て回ることが大切です。
確認する時期は、月に1回など決めておくと続けやすくなります。デザインや文章の確認で見つかるのは見た目が変わる改ざんだけですが、改ざんに気づく最初の手がかりとして欠かせません。
サーチコンソールのセキュリティの問題を確認する
サーチコンソールでは、Googleがホームページの改ざんを検出したときに、メニューの「セキュリティと手動による対策」にある「セキュリティの問題」に内容が表示されます。問題が見つかっていなければ「問題は検出されませんでした」と表示されるので、ここを開くだけで、Googleが改ざんを検出しているかどうかを確認できます。
問題が検出されたときは、どのような種類の問題か、どのページで見つかったかが表示されます。サーチコンソールに登録しているメールアドレスにも通知が届くので、そのメールアドレスを普段から確認できる状態にしておくことも大切です。サーチコンソールに登録していない場合は、ホームページ制作会社に登録を頼んでおくと安心です。
サーチコンソールで身に覚えのない検索キーワードがないか確認する
サーチコンソールの検索パフォーマンスでは、ホームページがどのような検索キーワードで検索結果に表示されたかを確認できます。
ここに、医薬品やブランド品、ギャンブルなど、自社の事業とまったく関係のない検索キーワードが並んでいたら、ホームページの改ざんを疑う必要があります。見えないところに追加されたページやリンクが検索エンジンに読み込まれ、関係のない検索キーワードで表示されている可能性があります。
表示回数の多い検索キーワードだけでなく、一覧を下までスクロールして確認すると見つけやすくなります。表示回数が急に増えた時期があれば、その頃に改ざんされた可能性も考えられます。
【site:】検索で身に覚えのないページがないか確認する
Googleの検索窓に【site:自社ドメイン】を入力して検索すると、Googleに登録されている自社のホームページのページが一覧で表示されます。たとえば【site:example.com】と検索します。表示されたページのタイトルや説明文を見て、作った覚えのないページや、外国語や事業と関係のない商品名が並んだページがないかを確認します。
ページ数が多いホームページでは、【site:example.com ブランド】のように気になる言葉を続けて検索すると、身に覚えのないページを見つけやすくなります。既存のページはそのままにして新しいページを追加する改ざんは、この方法で見つかることがあります。
スマホで検索結果から自社のホームページを開く
スマホでGoogleを開き、会社名やサービス名で検索して、検索結果から自社のホームページを開いてみます。スマホのユーザーや検索結果から来たユーザーだけを転送する改ざんは、パソコンでURLを直接入力して開いても見つかりません。訪問者と同じ開き方をすることで、ようやく転送に気づけます。
会社名だけでなく、主なサービス名や地域名を入れた検索キーワードなど、ユーザーが実際に検索しそうな言葉でも試してみます。トップページ以外のページが検索結果に出てきたら、そのページも開いて確認しておくと安心です。
WordPressからログアウトした状態で表示を確認する
WordPressで制作したホームページは、管理画面からログアウトした状態で表示を確認します。ログインしたままでは、ログイン中の管理者には正常なページを見せる改ざんに気づけません。わざわざログアウトしなくても、ブラウザのシークレットウィンドウで開けば、訪問者と同じ状態で確認できます。
ログアウトした状態で開いたときに、別のホームページへ転送されたり、見覚えのない広告やポップアップが表示されたりしたら、改ざんされている可能性があります。普段ログインしたまま自社のページを見ている担当者ほど、この確認が必要です。
WordPressの管理画面に見覚えのないユーザーやプラグインがないか確認する
WordPressの管理画面では、ユーザーの一覧に見覚えのないアカウントがないかを確認します。ホームページを改ざんする側は、後から何度でも入り込めるように、管理者の権限を持ったアカウントを追加することがあります。担当者や制作会社が作った覚えのない管理者のアカウントがあれば、改ざんを疑う必要があります。
あわせてプラグインの一覧に、入れた覚えのないプラグインがないかを確認します。WordPressの正規の部品に見せかけた名前の不正なプラグインが見つかった事例もあるので、名前だけで判断せず、制作会社が入れたプラグインの一覧と見比べると見落としにくくなります。
改ざんに気づいたら制作会社に頼む前にやること
ホームページの改ざんに気づいたら、すぐに制作会社へ連絡したくなりますが、その前に自社でやっておきたいことがあります。被害を広げず、復旧をスムーズに進めるために、次の順番で対応します。
STEP1. 改ざんされた画面をスクリーンショットで残す
まずは、改ざんされた画面をスクリーンショットで残します。ホームページを非公開にすると、改ざんされた状態は確認できなくなります。どのような改ざんだったのかを制作会社に正確に伝えるためにも、最初に記録を残しておくことが大切です。
スクリーンショットには、ページのURLが分かるように画面全体を残します。別のホームページへ転送される改ざんなら、転送元と転送先のURLを記録しておきます。あわせて、確認した日時、パソコンかスマホか、検索結果から開いたのかURLを直接入力したのかといった、改ざんを確認したときの状況もメモしておきます。
転送などの改ざんはWordPressにログインしていると表示されないことがあるので、ログアウトした状態やシークレットウィンドウで撮影します。
STEP2. ホームページを一時的に非公開にする
記録を残したら、ホームページを一時的に非公開にします。
改ざんされたホームページを公開したままにすると、その間に訪れたユーザーがウイルスに感染したり、不審なホームページへ転送されたりする被害が続きます。非公開にする方法は、レンタルサーバーの管理画面にあるアクセス制限の機能を使い、パスワードを知っている人しか見られないようにする方法が手軽です。
操作が分からない場合は、レンタルサーバー会社に問い合わせます。
このとき、改ざんされたファイルを自分で削除したり、書き換えたりしないように注意します。どのファイルがいつ改ざんされたのかは、制作会社が原因を調べるための大切な手がかりになります。ファイルを消してしまうと原因が分からなくなり、同じ方法で再び改ざんされるおそれがあります。ファイルには手を付けずにそのまま残し、アクセスだけを止めるようにします。
STEP3. パソコンのウイルスチェックをする
次に、WordPressやレンタルサーバーの管理画面にログインしているパソコンのウイルスチェックをします。ホームページの改ざんは、担当者のパソコンがウイルスに感染し、保存していたパスワードを盗まれたことが原因で起きる場合もあります。
パスワードの変更より先にウイルスチェックをするのは、パソコンが感染したままだと、変更した新しいパスワードもまた盗まれてしまうおそれがあるからです。更新担当者が複数いる場合は、ログインに使っているすべてのパソコンでチェックします。ウイルスが見つかった場合は、駆除が終わってからパスワードを変更します。
STEP4. WordPressやレンタルサーバーのパスワードを変更する
ウイルスチェックが終わったら、WordPressやレンタルサーバーのパスワードを変更します。改ざんした側にパスワードを知られている場合、パスワードを変えない限り、復旧した後でも同じように入り込まれてしまいます。
変更するのは、WordPressのすべてのユーザーのパスワード、レンタルサーバーの管理画面のパスワード、FTPのパスワードです。新しいパスワードは、ほかのサービスで使っているものを使い回さず、長く推測されにくいものにします。変更したパスワードは、復旧を頼むときに制作会社へ伝えられるよう、社内で管理しておきます。
STEP5. バックアップが残っているか確認する
最後に、ホームページのバックアップが残っているかを確認します。レンタルサーバーには自動でバックアップを取る機能があるものが多く、改ざんされる前の状態のバックアップが残っていれば、復旧の手がかりになります。
ただし、自動バックアップは保存期間が決まっていて、古いものから順に新しいバックアップへ置き換わっていきます。改ざんに気づくのが遅れると、改ざんされる前のバックアップが残っていないこともあるので、早めに確認します。
バックアップが見つかっても、自分で復元はせずに、残っている日付だけを確認して制作会社に伝えます。改ざんの原因が分からないまま復元すると、同じ弱点が残ったままになり、再び改ざんされるおそれがあります。
制作会社に改ざんの復旧を頼むときに伝えること
制作会社に改ざんの復旧を頼むときは、状況をできるだけ詳しく伝えることで、原因の調査や復旧が早く進みます。ここでは、制作会社に伝えておきたいことを紹介します。
改ざんに気づいた日時ときっかけ
まず、改ざんに気づいた日時と、気づいたきっかけを伝えます。きっかけは、サーチコンソールからの通知、取引先からの連絡、自社でホームページを確認していて見つけた、検索結果に見覚えのないページが出てきたなど、できるだけ具体的に伝えます。
制作会社は、この日時をもとに、いつ頃から改ざんされていたのかを調べていきます。気づいた日がそのまま改ざんされた日とは限らないので、それより前に気になることがあった場合は、あわせて伝えておくと調査の手がかりになります。改ざんされる前の状態に戻すときに、どの日付のバックアップを使えるかを判断するうえでも、日時の情報は欠かせません。
改ざんを確認したときの環境や画面
改ざんを確認したときのスクリーンショットと、そのときの環境を伝えます。改ざんされていたページのURL、転送された場合は転送先のURL、パソコンかスマホか、検索結果から開いたのかURLを直接入力したのか、WordPressにログインしていたかどうかといった情報です。
ホームページの改ざんには、特定の条件で開いたときにしか異常が起きないものがあります。制作会社が同じ条件で開いても再現できなければ、どこに不正なプログラムが仕込まれているのかを探すのに時間がかかってしまいます。確認したときの環境が分かれば、制作会社は同じ状態を再現して、原因を早く突き止められます。
自社ですでに行った対応
ホームページを非公開にした、パスワードを変更した、パソコンのウイルスチェックをしたなど、自社ですでに行った対応を伝えます。非公開にした方法や、どのパスワードを変更したのか、ウイルスチェックで何か見つかったのかまで伝えると、制作会社は次に何をすればよいかをすぐに判断できます。
改ざんに気づいた後に、ファイルを削除したり、プラグインを停止したりしていた場合も、正直に伝えることが大切です。制作会社は、ファイルの状態から改ざんの原因を調べていきます。自社で手を加えたことが分からないまま調べると、改ざんされた跡なのか自社で変更した跡なのかを見分けられず、原因の特定が遅れてしまいます。
WordPressやレンタルサーバーのログイン情報
復旧の作業に必要な、WordPressの管理者アカウント、レンタルサーバーの管理画面、FTPのログイン情報を伝えます。改ざんに気づいた後にパスワードを変更している場合は、変更した後の新しいパスワードを伝えます。
ホームページを制作した会社でも、レンタルサーバーの契約をお客様が自分で行っている場合は、サーバーのログイン情報を持っていないことがあります。ログイン情報がそろわないと、制作会社は作業に取りかかれません。伝える方法は、IDとパスワードを1通のメールにまとめて送るのではなく、制作会社が指定する方法に従うと安全です。
最近ホームページに加えた変更
改ざんに気づく前にホームページに加えた変更を伝えます。プラグインやテーマの追加、WordPressやプラグインのバージョンアップ、新しいユーザーの追加、アクセス解析や広告のタグの設置、ほかの会社に頼んだ作業などです。反対に、WordPressやプラグインを長い間バージョンアップしていない場合は、最後にバージョンアップした時期を伝えます。
ホームページの改ざんは、追加したプラグインの弱点や、古いままのWordPressやプラグインの弱点を狙われて起きることが多くあります。最近の変更やバージョンアップの状況が分かれば、制作会社はどこから入り込まれたのかを絞り込みやすくなります。
問い合わせフォームなどで扱っている個人情報の有無
問い合わせフォームや会員登録、ネットショップの注文など、ホームページで個人情報を扱っているかどうかを伝えます。入力された個人情報がメールで届くだけなのか、ホームページの中に保存されているのかもあわせて伝えると、制作会社は漏洩の可能性を調べやすくなります。
ホームページの改ざんによって個人情報が漏洩したおそれがある場合は、本人への通知や、個人情報保護委員会への報告が必要になります。復旧だけでなく、個人情報が漏洩していないかの確認も制作会社に頼めるよう、最初に伝えておくことが大切です。
当社がホームページ制作時に行っている改ざん対策
ホームページの改ざんは、公開した後の対応だけでなく、制作の段階でどこまで備えておくかで起きにくさが変わります。ここでは、当社がホームページ制作時に行っている改ざん対策を紹介します。
基本的なセキュリティ対策を行う
当社では、ホームページ制作時に、WordPressやテーマ、プラグインを最新の状態にしたうえで公開しています。ホームページの改ざんは、古いWordPressやプラグインの弱点を狙われて起きることが多く、最新の状態にしておくことが最も基本的な対策になります。
あわせて、使う予定のないプラグインやテーマは入れずに、必要なものだけで制作しています。プラグインが増えるほど、弱点を狙われる入口も増えていきます。使っていないプラグインでも、入っているだけで狙われることがあるので、制作の段階で数を絞っておくことが大切です。
また、サイト全体をSSLに対応させ、すべてのページを暗号化された通信で表示するようにしています。SSLに対応していないと、管理画面にログインするときのIDやパスワード、問い合わせフォームの入力内容が、通信の途中で盗み見られるおそれがあります。盗まれたIDやパスワードで管理画面に入られれば、ホームページの改ざんにつながってしまいます。
レンタルサーバーのセキュリティ機能を設定する
当社では、ホームページ制作時に、レンタルサーバーに用意されているセキュリティ機能を設定しています。多くのレンタルサーバーには、不正な通信を防ぐWAFや、海外からの管理画面へのアクセスを制限する機能などが用意されています。
これらの機能は、レンタルサーバーを契約しただけでは有効になっていないものもあります。設定しておけば、WordPressに弱点が見つかったときでも、不正な通信の多くをサーバーの段階で止められます。WordPress側の対策とレンタルサーバー側の対策を重ねておくことで、ホームページの改ざんを防ぎやすくなります。
WordPressのログインを複雑にする
当社では、WordPressの管理画面に不正にログインされないよう、ログインの仕組みを複雑にしてからホームページを公開しています。WordPressは初期の状態だと、ログイン画面のURLがどのホームページでも同じで、誰でもログイン画面を開いてIDとパスワードを試せてしまいます。
まず、ログイン画面に画像認証を入れ、画像に表示された文字を入力しないとログインできないようにしています。プログラムを使って自動でIDとパスワードを試し続ける攻撃は、画像の文字を読み取れないので、ここで止められます。
次に、ログイン画面のURLを初期のものから変え、さらに定期的に変更しています。ログイン画面の場所が分からなければ、IDとパスワードを試すこと自体ができません。一度URLを知られても、定期的に変えておけば、同じ場所から狙われ続けることを防げます。
さらに、ログインに一定回数失敗するとロックがかかるようにしています。パスワードを何度も試して当てようとする攻撃は、ロックがかかった時点で続けられなくなります。ホームページの改ざんは、管理画面に不正ログインされて起きることもあるので、ログインの入口を何重にも固めておくことが大切です。
更新担当者のユーザー権限を分ける
当社では、ホームページ制作時に、お客様と当社でそれぞれ管理者のアカウントを1つずつ作り、更新担当者には担当者ごとに投稿者のアカウントを作っています。お客様の管理者のアカウントは普段は使わずに保管していただき、日々の更新は投稿者のアカウントで行っていただいています。
投稿者の権限では、プラグインの追加やテーマのファイルの編集ができません。万が一、更新担当者のパスワードが盗まれても、不正なプラグインを入れたりファイルを書き換えたりといった改ざんはできず、被害を小さく抑えられます。担当者ごとにアカウントを分けておけば、パスワードが漏れたときも、そのアカウントだけを止めて対応できます。
WordPressのユーザー権限については、WordPressサイトのユーザー権限は担当者ごとに分ける！の記事をご覧ください。
WordPressの改ざんが起きやすいホームページの特徴
他社で制作されたWordPressサイトの改ざんについて、相談を受けることがあります。相談を受けたケースやお客様から聞いた話では、改ざんされたホームページに共通する特徴がありました。以下に当てはまる場合は、改ざんされる前に早めの対策をおすすめします。
WordPressのバージョンアップをしていない
相談を受けたホームページの中には、公開してから一度もWordPressやプラグインのバージョンアップをしていないものがあります。制作会社との契約が公開までで終わっていたり、バージョンアップが必要だと知らされていなかったりすると、ホームページは公開した時点の状態のまま何年も使われ続けます。
また、ブログやお知らせなどのページの更新は続けているのに、WordPressのバージョンアップはしていないホームページもあります。管理画面に頻繁にログインしていても、担当者の仕事はページの更新で、バージョンアップは制作会社がやるものだと思っていることがあります。
管理画面にバージョンアップの通知が出ていても、表示が崩れるのが心配で、そのままにしていることもあります。ページの更新を続けていると、ホームページをきちんと管理できているように見えますが、ページを更新しているかどうかと、改ざんされやすいかどうかは関係ありません。
WordPressやプラグインは、弱点が見つかるたびにバージョンアップで修正されています。バージョンアップをしていないホームページには、修正される前の弱点が残ったままです。見つかった弱点の情報は公開されるので、改ざんする側はその弱点を持つホームページを探して狙ってきます。公開した時点では最新の状態でも、時間が経つほど改ざんされやすくなっていきます。
更新担当者がいる企業ほど、WordPressのバージョンアップを誰が行うのかを決めておく必要があります。
使っていないプラグインが残ったままになっている
ホームページ制作時やその後の運用で入れたプラグインが、使わなくなった後もそのまま残っているケースがあります。試しに入れたが使わなかったプラグインや、別の仕組みに切り替えた後のプラグインは、停止していても削除しなければファイルとしてサーバーに残ります。
使っていないプラグインは管理画面で目にする機会が少なく、バージョンアップも後回しにされがちです。弱点が見つかっても修正されないまま残り、ホームページの改ざんの入口になるおそれがあります。
使っていないプラグインは、停止で済ませずに削除しておくことが大切です。どのプラグインが使われているのか自社で判断できない場合は、制作会社に確認してもらうと、必要なプラグインまで消してしまう心配がありません。
まとめ
ホームページの改ざんは、見た目が変わらないものや、管理者には正常に表示されるものもあり、運営している企業が気づかないまま被害が広がっていきます。訪問者からの連絡は期待できないので、自社で定期的に確認し、改ざんに気づいたらファイルに手を付けずに非公開にしてから、正しい順番で対応することが大切です。
当社では、ホームページ制作時にWordPressのログインを複雑にし、レンタルサーバーのセキュリティ機能の設定やユーザー権限の分け方まで含めて、改ざんされにくいホームページを制作します。他社で制作されたWordPressサイトでも、改ざんの復旧から、バージョンアップをしていないホームページや使っていないプラグインが残ったホームページの見直しまで対応しています。
公開してから何年もバージョンアップをしていないなど、今のホームページの安全性に不安があり、リニューアルを検討している場合は、お気軽にご相談ください。ヒアリングした内容をもとに、改ざん対策まで含めたホームページ制作をご提案します。
