お客様から「御社のサイトを開いたら、変なページに飛ばされた」と言われた。Googleで自社名を検索したら、身に覚えのない日本語のページがずらりと出てきた。ホームページの改ざんを疑う場面です。
ところが、自分のパソコンで開いてみると、いつもどおり表示される。管理画面にも普通に入れる。「気のせいだったのかな」と思ってしまいがちですが、それこそが改ざんのよくある形です。
この記事では、改ざんに気づくための見分け方と、気づいたあとに「止める・残す・ふさぐ」の順で進める初動をまとめます。慌てて操作すると、原因の手がかりを消したり、同じ入口から再び入られたりします。
【結論】改ざんは「止める → 残す → ふさぐ → 直す → 知らせる」の順で対応する
| 順番 | やること | なぜこの順か |
|---|---|---|
| 1. 止める | パスワードを全部変える。知らない管理者ユーザーを確かめる | 侵入者がまだ入れる状態のまま直しても、また書き換えられる |
| 2. 残す | 見えている症状・日時・URLを記録し、サーバーのログを確保する | 原因を調べる手がかりは、操作すると消える |
| 3. ふさぐ | 入口になった古いプラグイン・テーマ・パスワードを特定して直す | 入口が開いたままだと、数日後に同じ被害が起きる |
| 4. 直す | 書き換えられたファイル・ページ・データを取り除く | 入口をふさいでからでないと、いたちごっこになる |
| 5. 知らせる | Googleへの再審査、必要に応じてお客様・関係先への連絡 | 警告表示や検索結果は、直しただけでは自動で戻らない |
大事なのは、「直す」が4番目だということです。見えている変なページを消すことから始めたくなりますが、それは最後のほうで構いません。
自分のパソコンで見ると正常に見えるのは、相手が「見る人」を選んでいるから
改ざんの中には、訪れた人によって見せる中身を変えるものがあります。Googleの解説では「クローキング」と呼ばれている手口です（web.dev「キーワードとリンクのクローキングによるハッキングを解決する」）。
- Googleの検索結果から来た人だけを別のサイトへ飛ばす
- スマートフォンから来た人だけを別のサイトへ飛ばす
- Googleの検索ロボットにだけ、宣伝用の日本語ページを大量に見せる
ブックマークからパソコンで自社サイトを開く運営者本人には、どれも当てはまりません。だから本人が最後に気づくことになります。
自分で開いてみたら、
普通に表示されたんだけど……
確かめるときは、お客様と同じ入り方をしてください。
スマホで検索結果から開くと、違う画面が出ることがあります。
改ざんを見分ける4つの方法。どれも5分でできる
Googleで「site:自社のドメイン」と検索して、知らないページがないか見る
検索窓に site:example.co.jp のように、自社のドメインの前に「site:」を付けて検索します。自社のページの一覧が出ます。見覚えのない日本語のタイトル（通販・ブランド品・アダルト系など）や、意味の分からない英数字のURLが混ざっていたら要注意です。Googleはこれを「日本語キーワードによるハッキング」として解説しています（web.dev）。
スマートフォンで、Googleの検索結果から自社サイトを開く
お客様と同じ入り方をします。スマホで自社名を検索し、検索結果のリンクを押して開いてください。別のサイトに飛ばされたら、改ざんされています。ブックマークやアドレスの直接入力では、症状が出ないことがあります。
Search Consoleの「セキュリティの問題」と、届いているメールを見る
Search Consoleを使っているなら、左のメニューの「セキュリティと手動による対策」→「セキュリティの問題」を開きます。「ハッキングされたコンテンツ」などが出ていれば、Googleが改ざんを検出しています（Search Console ヘルプ）。
また、知らない人がSearch Consoleでサイトの所有者として追加されたという通知メールが届いていたら、改ざんの可能性が高いとGoogleは案内しています（web.dev「サイトがハッキングされたかどうかを確認する方法」）。侵入者が、自分の都合のよいように検索の設定を操作するためです。
サーバー会社からの通知を探す
レンタルサーバーの会社は、不審なファイルや大量のメール送信を検知すると、契約者に連絡してくることがあります。迷惑メールのフォルダや、普段見ていない契約用のアドレスに届いていないか確かめてください。
気づいたら最初の1時間でやること：止めて、残す
パスワードを全部変える。変えるのは、安全なパソコンから
変えるのは、WordPressの管理画面だけではありません。
- WordPressの管理者ユーザー全員のパスワード
- レンタルサーバーの管理画面のパスワード
- ファイルを転送するためのFTP・SFTPのパスワード
- データベースのパスワード（変えたら、WordPressの設定ファイルも合わせて直す必要があります。分からなければ担当者に任せてください）
- 管理者として登録しているメールアドレスのパスワード
パスワードが盗まれた原因が、使っているパソコンのウイルスだった場合、そのパソコンで変えても筒抜けになります。可能なら、普段と別の端末で変えてください。
知らない管理者ユーザーがいないか確かめる
WordPressの「ユーザー」の一覧を開き、権限が「管理者」になっている人を確かめます。見覚えのない名前があれば、侵入者が自分用の入口を作っています。消す前に、名前と登録日を記録しておいてください（いつ入られたかの手がかりになります）。
見えている症状と、サーバーのログを残す
飛ばされた先のURL、出てきたページのタイトル、気づいた日時を、スクリーンショットとメモで残します。そして、サーバー会社の管理画面からアクセスログをダウンロードしておきます。ログは保存期間が短いことが多く、待っている間に、侵入された日の記録が消えてしまうことがあります。
やってはいけないこと：バックアップから戻して終わりにする
慌てたときにやりがちで、あとで困ることが3つあります。
- バックアップから戻して終わりにする。入口がふさがっていなければ、同じ被害がまた起きます。そのバックアップ自体が、侵入されたあとのものかもしれません
- WordPressを入れ直して終わりにする。改ざんされたファイルは、テーマやアップロードした画像のフォルダ、データベースの中にも仕込まれます。本体を入れ直しても残ります
- 変なページだけを消して終わりにする。見えているページは結果です。それを作った仕掛け（裏口）が残っていれば、また作られます
どれも、「見えている症状を消す」ことと「入口をふさぐ」ことは別の作業だという点で共通しています。
直したあとは、Googleへの再審査と、必要な連絡を忘れない
Googleの警告は、直しただけでは消えない
Search Consoleで「セキュリティの問題」が出ていた場合、サイト全体を直したうえで「審査をリクエスト」を送ります。リクエストには、何が起きていたか、何をして直したか、その結果どうなったかを書きます。Googleのヘルプによると、多くの再審査は数日から数週間で完了します。直しきらないまま送ると、かえって時間がかかることがあります（Search Console ヘルプ）。
お問い合わせフォームの中身が見られた可能性があるなら、報告の義務がある
お問い合わせフォームで受けた氏名・電話番号・相談内容などが、侵入者に見られたおそれがある場合は注意が必要です。不正の目的で行われたおそれがある個人データの漏えい（そのおそれを含む）は、件数にかかわらず個人情報保護委員会への報告の対象です（個人情報保護委員会「漏えい等の対応とお役立ち資料」）。あわせて、個人情報保護法では原則として本人への通知も求められています。判断に迷うときは、委員会の窓口に相談できます。
ホームページの改ざんについてよくある質問
小さな会社のサイトでも狙われるのですか？
狙われます。多くの改ざんは、人が会社を選んで行うのではなく、古いプラグインや推測しやすいパスワードを、プログラムが自動で探して回っているものです。会社の規模や知名度は関係ありません。
自分で直せますか？
パスワードの変更・知らないユーザーの確認・記録を残すところまでは、ご自身でできます。入口の特定と、仕込まれたファイルの除去は、サーバーの中を見られる人に任せたほうが確実です。ご契約のサーバー会社が、調査や復旧の窓口を用意していることもあります。
制作会社と連絡が取れず、サーバーの管理画面にも入れません。
まず、サーバーとドメインの契約が誰の名義になっているかを確かめるところからです。自社名義なら、サーバー会社に本人確認をしてもらい、管理画面に入り直せます。名義が制作会社のままの場合は、取り戻す手順が別に必要になります。
【まとめ】症状を消す前に、入口をふさぐ
- 改ざんは運営者本人のパソコンでは正常に見えることが多い。スマホで検索結果から開いて確かめる
- 「site:自社ドメイン」の検索、Search Consoleの「セキュリティの問題」、所有者追加の通知が手がかりになる
- 気づいたら止める（パスワード・ユーザー）→ 残す（記録・ログ）→ ふさぐ → 直す → 知らせるの順
- バックアップから戻すだけ・入れ直すだけでは終わらない
- フォームの個人情報が見られたおそれがあれば、報告と通知が必要になる場合がある
改ざんの疑いがある、警告画面が出てしまった、というときは、そのままの状態でご相談ください。不具合・修正対応として、状況の確認から、入口の特定・復旧・Googleへの再審査まで承ります。再発を防ぐための更新やバックアップの確認を続けたい場合は、月額保守・管理もご検討ください。
はじめてのご相談は無料です。ホームページの無料相談をする／まずは自分で点検してみる
参考資料
この記事は2026年10月15日時点で公開されている情報をもとに作成しています。
同じことでお困りでしたら
記事のとおりに進めるのが難しいときは、次のご相談で承っています。
- 修正・トラブル対応表示が崩れた、エラーが出る、フォームが届かない。原因を調査し、直せる形でご報告・修正します。
- 月額保守・管理WordPress本体・プラグインの更新、稼働の確認、軽微な修正、毎月のご報告まで。月々の定額で任せられます。
どれにあたるか分からないときは、ホームページの自己点検（15の質問・2分）で、いまの状態からお確かめいただけます。
