夜のオフィスで、取引先からの電話を受けながらパソコンで自社サイトの画面を開き、落ち着いて状況を確かめようとしている企業のWEB担当者
サイト運用・更新約19分

サイト改ざん・マルウェア感染を疑ったら｜初動と復旧の段取り

「御社のサイト、開いたら変な広告みたいなページに飛ばされたんですけど」。 取引先からそう電話をもらった瞬間、たぶん一番最初に来るのは「どうしよう」より先に、心臓が一段速くなる感覚だと思います。自分の管理しているサイトで、自分の知らないことが起きている。しかも、社外の人のほうが先に気づいている。

まず、ひとつだけ先にお伝えします。この段階では、まだ何が起きているか分かっていません。改ざんかもしれないし、キャッシュが古いだけかもしれないし、その人の端末側の問題かもしれません。だから、最初にやることは「直す」ことではなく「確かめる」ことです。順番を間違えなければ、たいていの場合、被害は思ったより小さく収まります。今日は、その順番を一緒に整理していきましょう。

結論：疑ったときは、次の4段階をこの順番で進めます。
① 記録する（気づいた時刻・状況・スクリーンショット。消す前に残す）→ ② 連絡する（上司・制作会社/保守会社・サーバー会社。一人で判断しない）→ ③ 止める（公開停止やパスワード変更で、広がりを止める）→ ④ 戻す（クリーンなバックアップから復旧し、入口をふさぐ）。
やりがちで惜しいのが、②を飛ばして④から手をつけること。慌てて怪しいファイルだけ消すと、証拠も消えて、原因が分からないまま同じことが起きます。

何が起きているのか

「改ざん」は、必ずしも見た目に出ない

サイトの改ざんというと、トップページが真っ黒になって英語のメッセージが出る——そんな画面を思い浮かべるかもしれません。実際には、そういう「見せつける」タイプは少数派です。多いのは、気づかれないように仕込むタイプです。

見え方は、だいたい次の3つに分かれます。

冒頭の電話は、多くの場合Bを外から知らされたCのパターンです。自分では気づけなかったのは、あなたの注意不足ではありません。そもそも気づかれないように作られているからです。

「改ざん」と「マルウェア感染」の関係

言葉の整理を少しだけ。改ざんは「サイトの中身が第三者に書き換えられた状態」、マルウェアは「悪意のあるプログラム全般」を指します。実務では、この2つはたいてい重なって起きます。サーバーに侵入されて（＝改ざん）、訪問者の端末に何かを仕込むプログラムが置かれる（＝マルウェアの配布）、という流れです。

もうひとつ覚えておくと役に立つのがバックドアという言葉です。直訳すると「裏口」。一度侵入した相手が、あとからまた入れるように仕込んでいく小さなファイルのことです。改ざんされたページを直しても、この裏口が残っていると数日でまた同じことが起きます。「直したはずなのに再発した」の正体は、ほぼこれです。

入口になりやすいところ

侵入の入口として多いのは、次のあたりです。

並べると「ちゃんとやっていれば防げたのでは」と感じるかもしれませんが、そうとも限りません。プラグインの弱点が公表されてから攻撃が始まるまでの間隔は、短いときには数日です。月に一度の更新作業をしていても、そのすき間に当たることは普通にあります。運用が雑だったから起きた、と決めつける必要はありません。

具体例：疑ったときに、その場でできる確認

電話を切ったあと、最初の15分で確認できることがあります。特別なツールはいりません。

1. まず、記録を取る（触る前に）

これが一番忘れられがちで、一番あとから効きます。

なぜ先に記録するかというと、復旧作業を始めた瞬間から、証拠が消えていくからです。あとで制作会社やサーバー会社に相談するとき、「何がどう見えたか」が残っているかどうかで、原因特定のスピードがまるで変わります。メモ帳に3行、スクショ2枚。それで十分です。

2. 自分の目で、条件を変えて見てみる

同じサイトでも、見る条件を変えると症状が出たり出なかったりします。

3つ目の site: 検索は、地味ですがとても有効です。隠しページを作られている場合、自社サイトの中を歩いても見つかりませんが、検索結果には出てくることがあります。

3. Search Consoleの「セキュリティの問題」を開く

Search Consoleに自社サイトを登録してあれば、左のメニューに「セキュリティと手動による対策」→「セキュリティの問題」があります。Googleが問題を検知していれば、ここに種類と、影響を受けているURLの例が表示されます。何も検知されていなければ「問題は検出されませんでした」と出ます。

ここが空でも「絶対に安全」とは言い切れませんが、Googleから見て今どう扱われているかが分かるだけで、判断がかなり楽になります。まだ登録していない場合は、落ち着いたあとに登録しておくと、次からは自分のところに先に通知が来ます（Search Consoleで検索流入を確認する基本）。

4. ファイルの更新日時を並べ替える

サーバーの管理画面やFTPが使えるなら、ファイルを更新日時の新しい順に並べ替えてみます。自分たちが更新作業をしていない日時に、身に覚えのないファイルが更新されていないか。ここに手がかりが残っていることがよくあります。

このとき、見つけても消さないでください。日時とファイル名をメモするだけにとどめます。消すのは、原因が分かって、裏口まで含めて対処する段階です。

改ざんを疑ってから復旧までを「記録」「連絡」「止血」「復旧」の4段階に分けて、左から右へ順に並べた概念図
順番が大事。慌てて「復旧」から手をつけると、証拠も原因も消えてしまう

その日のうちにやること：広がりを止める

確認して「これはおかしい」となったら、次は止血です。完璧に直すのは、この段階の目標ではありません。訪問者にこれ以上迷惑をかけない、それだけを目指します。

1. 一人で決めない（ここが本当に大事です）

サイトを止めるかどうかは、会社としての判断です。営業・広報・情シス、そして上司。誰か一人でも巻き込んでから動いてください。

「自分のミスかもしれないから、直してから報告しよう」——その気持ちはとてもよく分かります。でも、黙って直そうとするほど時間がかかり、結果的に会社にとって不利になります。伝え方は、事実だけで十分です。

「本日◯時ごろ、取引先から『サイトが別のページに飛ばされる』とご連絡をいただきました。こちらでも再現を確認しています。現在、制作会社とサーバー会社に確認を依頼中です。原因が判明するまで、該当ページを一時的に非公開にすることを検討しています。」

原因も対策もまだ分からなくて構いません。分かっていることと、次にやることだけを伝えれば、報告として成立します。

2. 制作会社・サーバー会社に連絡する

保守契約があるなら、まずそこへ。契約の範囲に「不正アクセス時の対応」が含まれているか分からなくても、まず連絡してください（範囲の話はあとで整理できます。サイトの保守契約の中身を確認するチェックポイント）。

サーバー会社にも連絡します。共用サーバーの場合、サーバー側でしか見られないログや、他の利用者への影響の有無を確認してもらえます。会社によっては、緊急時の対応窓口や、感染ファイルの調査サービスを持っています。

伝えるのは、さっきメモした内容そのままで大丈夫です。専門用語で説明しようとしなくていいです。

3. 公開を一時的に止めるか決める

訪問者に実害が出ている可能性があるなら、止める判断が要ります。選択肢は主に3つです。

どれを選ぶかは、被害の範囲と、サイトが止まったときの業務影響のバランスです。問い合わせフォームが唯一の窓口になっている会社なら、全体を閉じると別の困りごとが生まれます。その場合は、トップに一時的なお知らせと電話番号を出しておくだけでも、お客さまの不安はかなり減ります（臨時休業・緊急のお知らせをサイトにすぐ出すの型が、そのまま使えます）。

4. パスワードを変える

侵入経路が分からない段階では、関係しそうなものを一通り変えるのが基本です。

あわせて、管理者アカウントの一覧を見て、身に覚えのないユーザーが増えていないかを確認します。侵入した相手が自分用のアカウントを作っていることがあります。見つけても、消す前にスクリーンショットを1枚残してください。

翌日以降：戻すときの注意

「バックアップから戻す」の前に、日付を決める

一番やってしまいがちなのが、直近のバックアップで上書きしてしまうことです。侵入されたのが1週間前で、バックアップが昨日のものなら、感染した状態ごと戻ることになります。

だから、戻す前に「いつから怪しいか」を決めます。手がかりは、さっき見たファイルの更新日時、Search Consoleの検知日、アクセスログ、お客さまからの連絡の時期。厳密に特定できなくても構いません。分かっている最も古い異常より、さらに前の日付を選べば安全側に倒せます。

そのうえで、戻したあとに必ずやることがあります。

バックアップそのものの取り方と、復元できるかの確認はサイトのバックアップの取り方と復元にまとめています。この機会に、復元を一度試しておくと、次からの安心感が違います。

自力で戻すか、専門業者に頼むか

判断の目安をひとつ。「どのファイルが書き換えられたか」が特定できているなら自力の範囲、特定できていないなら専門の手を借りる、と考えると迷いにくくなります。

裏口は、正常なファイルの中に数行だけ紛れ込ませる形で仕込まれることがあります。全ファイルを目で追って見つけるのは、現実的ではありません。制作会社が対応できない場合、サーバー会社が提携している調査・駆除のサービスを紹介してくれることもあります。費用はかかりますが、再発を繰り返して何度も業務が止まるほうが、結局は高くつきます。ここは、お金で時間と確実性を買っていい場面です。

検索結果の警告を外す（再審査リクエスト）

Googleに問題を検知されて警告が出ている場合、直しただけでは警告は自動では消えません。Search Consoleの「セキュリティの問題」の画面から、対処が終わったことを伝えて審査を依頼します（再審査リクエストといいます）。

依頼のときは、「何が原因で、何をしたか」を短く書きます。「プラグインの脆弱性から侵入され、該当ファイルを削除、全プラグインを更新、パスワードを全変更しました」——このくらいの具体性で十分です。審査には数日かかることがあるので、直したその日に依頼を出しておくのがおすすめです。

インデックスの戻り方が気になるときは、自社サイトがインデックスされているか確認する方法もあわせてどうぞ。

個人情報が関わるときは、報告が要る場合があります

お問い合わせフォームの送信内容や顧客データが保存されているサイトの場合、確認しておきたいことがあります。個人情報保護法では、個人データの漏えい等が発生し、個人の権利利益を害するおそれが大きい場合に、個人情報保護委員会への報告と本人への通知が求められています。不正アクセスによるものは、そのおそれが大きい場合として扱われます。報告には速報と確報があり、期限も定められています。

ここは会社としての対応が必要な部分なので、総務・法務・上司に「個人情報が関わる可能性がある」と早めに共有するのが、WEB担当者としての一番大事な役割です。判断まで背負う必要はありません。実際に該当するかどうかは、個人情報保護委員会の公式サイトの案内で確認するか、社内の管理部門に判断を仰いでください。

あなたへの影響

明日やること

今まさに疑っている最中なら、上の「その日のうちにやること」から進めてください。そうでなければ、平時の今日こそが備えどきです。全部やらなくて大丈夫、上から1つでかまいません。

  1. バックアップが「いつの・どこに・何世代」あるかを確認する。分からなければ、制作会社かサーバー会社に1通聞くだけでOKです。
  2. Search Consoleの通知メールが、今の自分に届く設定になっているかを確認する。前任者のアドレスのままになっていることが、本当によくあります。
  3. 緊急連絡先を1枚のメモにまとめる。制作会社の担当者名と電話、サーバー会社のサポート窓口、社内の報告先。パソコンが使えない状況でも見られるよう、紙かスマホのメモに。
  4. CMSの管理者アカウント一覧を開いて、知らない名前がないかを見る。退職者や以前の制作会社のアカウントが残っていたら、この機会に整理します。
  5. 使っていないプラグイン・テーマを1つだけ削除する。停止中のものも攻撃対象になり得ます。

チェックリスト

平時の備え（できるところから）

疑ったときの初動（この順番で）

復旧のあと

翌朝の明るいオフィスで、無事に復旧したサイトの画面を確認し、ほっとした表情で同僚と話している企業のWEB担当者

よくある不安に、先に答えておきます

締めに

改ざんへの対応は、うまくやっても誰にも褒められない仕事です。ニュースにならず、お客さまも気づかないまま、静かに日常が戻る。それが一番いい結末です。

でも、その静かな結末を作るのは、あの夜に電話を切ったあと、慌てて消さずにスクリーンショットを撮り、上司に一報を入れ、制作会社に連絡した——その地味な数十分です。

そして、いま平時にこのページを読んでいるなら、それはもっと価値のある時間です。バックアップの場所をひとつ確認しておくだけで、いつか来るかもしれない夜のあなたが、ずいぶん楽になります。

何が起きても、順番どおりに進めれば必ず終わりが来ます。ひとつずつで大丈夫です。

※本記事は一般的な実務の考え方をまとめたものです。実際の被害状況の判断、法令上の報告義務の要否、復旧の具体的な手順は、サーバー環境や被害内容によって異なります。必要に応じて、制作会社・サーバー会社・専門の事業者、および社内の管理部門にご相談ください。

よければ、こちらも

「うちの場合はどうなんだろう」と迷ったら、お問い合わせからいつでも声をかけてくださいね。一緒に整理していきましょう。

関連用語

</content> </invoke>