ホームページが改ざんされた・乗っ取られた！WordPressのスパム表示・ウイルス駆除の手順

「検索したら、自社サイトのタイトルが見覚えのない日本語になっている」「サイトを開くと、関係のない広告サイトに飛ばされる」「管理画面にログインできなくなった」――。こうした症状があれば、ホームページが改ざんされた、または乗っ取られた可能性があります。

WordPressのサイトは世界中で使われているため、攻撃の対象にもなりやすく、古いプラグインや弱いパスワードが狙われます。この記事では、改ざんの兆候、被害を広げないための初動、ウイルス駆除・復旧の流れ、再発防止策を、広島のWeb制作会社が解説します。

ホームページの改ざん・乗っ取りの主なサイン

次のような症状は、改ざんを疑うサインです。1つでも当てはまれば、早めに確認が必要です。

• 身に覚えのない記事・ページ・ユーザーが増えている
• Google検索結果のタイトルや説明文に、怪しい日本語（商品名や外国語混じり）が表示される
• スマホからアクセスしたときだけ、別サイトに転送される
• ブラウザやセキュリティソフトが警告を出す
• 管理画面にログインできない、または管理者のメールアドレスが書き換わっている
• Googleサーチコンソールに「セキュリティの問題」の通知が来ている
• サイトの表示が極端に遅くなった

主な被害の種類｜スパム表示・不正リダイレクト・ウイルス感染

被害の種類	内容
スパム表示（日本語キーワード改ざん）	大量の偽ページが作られ、検索結果に不審な商品名などが表示される
不正リダイレクト	訪問者が、悪質な広告・詐欺サイトに転送される
マルウェア（ウイルス）設置	訪問者の端末に被害を与える不正なコードが仕込まれる
管理者権限の乗っ取り	攻撃者が管理者アカウントを作成し、継続的に操作できる状態になる
情報漏えい	問い合わせフォームや会員情報などが外部に流出するおそれがある

放置すると、検索順位の低下、お客様への被害、信用の失墜につながります。

改ざんに気づいたらすぐやること｜初動の5ステップ

1. サイトの公開を一時停止する（メンテナンス表示）

訪問者への被害拡大を防ぐため、可能であれば一時的に公開を止めます。

2. 現状をバックアップする（調査用に必ず保存）

ファイルとデータベースを、改ざんされた状態のまま保存します。原因調査に必要になるため、先に消してはいけません。

3. パスワードをすべて変更する

WordPress管理画面、サーバー、FTP、データベース、メールなど。使い回しをしているパスワードは、他のサービスでも変更します。

4. 不審なユーザー・ファイルを調べる

管理者ユーザーの一覧、直近で更新されたファイル、見覚えのないプラグインを確認します。専門知識が必要な作業のため、難しければ専門家へ。

5. 関係先へ連絡する

サーバー会社や制作会社、保守契約があればその窓口へ連絡します。制作会社と連絡が取れない場合の確認方法も参考にしてください。

ウイルス駆除・復旧の方法｜3つの選択肢

方法1：改ざん前のバックアップから復元する

改ざん前のバックアップがあれば、最も早く確実な方法です。ただし、侵入口（原因）を塞がないと、再び改ざんされます。

方法2：不正なファイルを特定して駆除する

改ざんされたファイル、不正なユーザー、仕込まれたコードを一つずつ取り除きます。見落としがあると、再感染の原因になります。

方法3：クリーンな環境へ再構築する

WordPress本体・テーマ・プラグインを新しく入れ直し、記事データだけを移す方法です。被害が広範囲な場合や、駆除の確実性を優先したい場合に選ばれます。

どの方法が適切かは、被害の範囲によって異なります。駆除の完全さを保証することは難しいため、再発の有無を確認する期間を設けることが重要です。

復旧後にやること｜Googleへの対応と再発防止

サーチコンソールで警告を確認し、再審査をリクエストする

「セキュリティの問題」の通知が出ていた場合は、問題を取り除いたうえで、サーチコンソールから審査をリクエストします。

不要なプラグイン・テーマを削除し、すべて最新に更新する

使っていないものも、脆弱性の入口になります。

管理者のログインを強化する

推測されにくいパスワード、不要なユーザーの削除、二段階認証、ログイン試行回数の制限などを設定します。

定期バックアップと監視を整える

改ざんを早期に発見し、すぐ復旧できる体制が被害を最小限にします。保守の内容と費用はWordPress保守・更新代行の費用相場で解説しています。

個人情報が漏えいした可能性があるときの注意

問い合わせフォームや会員情報などから、個人情報が漏えいしたおそれがある場合は、法令に基づく報告や、関係者への連絡が必要になることがあります。判断が難しい場合は、弁護士など専門家への相談もご検討ください。

改ざんが起きやすいサイトの特徴

• WordPress本体・プラグイン・テーマを長期間更新していない
• 「admin」など推測されやすいユーザー名や、簡単なパスワードを使っている
• 使っていないプラグイン・テーマが残っている
• 制作会社が不在で、誰も管理していない
• バックアップを取っていない

改ざんの主な手口と、侵入されやすい入口

攻撃者は、サイトのどこから侵入するのでしょうか。代表的な入口を知っておくと、対策の優先順位が分かります。

侵入の入口	内容	対策
古いプラグイン・テーマ	公開されている脆弱性を突かれる	更新を怠らない。使わないものは削除
弱いパスワード・使い回し	総当たり攻撃や、流出したパスワードで管理画面にログインされる	推測されにくいパスワード、二段階認証、ログイン制限
FTP・サーバーの認証情報の流出	パソコンのウイルス感染などで、情報が盗まれる	端末のセキュリティ対策、パスワード変更、SFTPの利用
海賊版テーマ・不正なプラグイン	最初からウイルスが仕込まれている	公式・信頼できる提供元のものだけを使う
サーバー全体の脆弱性	同じサーバーの別サイトから被害が広がる	信頼できるサーバーの利用、不要なサイトの削除
管理画面のURL・ユーザー名の推測	初期設定のままで狙われる	ユーザー名の変更、アクセス制限

この中でも、「更新していないプラグイン・テーマ」と「弱いパスワード」は、特に多い原因です。日々の保守の有無が、被害の有無を分けることも少なくありません。

改ざんの影響｜検索順位・信用・集客への被害

• 検索結果への影響：スパムページが大量に作られると、サイト全体の評価が下がり、順位が下落することがあります。
• ブラウザの警告表示：「このサイトは危険です」といった警告が出ると、訪問者が離れてしまいます。
• 広告の停止：広告のリンク先が不正と判断され、広告が配信停止になることがあります。
• お客様への被害：ウイルスの配布や、フィッシングへの誘導で、お客様に被害が及ぶおそれがあります。
• 信用の低下：取引先・求職者・お客様からの信用に影響します。

サイトが表示されない、などのトラブルも改ざんで起こることがあります。ホームページが表示されない原因と対処法もあわせてご覧ください。

Googleサーチコンソールで確認できる「セキュリティの問題」

サーチコンソールの「セキュリティと手動による対策」の項目では、Googleが検出したサイトの問題を確認できます。たとえば次のような問題が表示されることがあります。

• ハッキングされたコンテンツ（不正なコンテンツの挿入）
• マルウェア（不正なソフトウェアの配布）
• ソーシャルエンジニアリング（なりすまし・フィッシングのおそれ）

問題が検出されると、検索結果に警告が表示される場合があります。問題を取り除いたあとに、審査をリクエストすることで、警告の解除を申請できます。審査には時間がかかることもあるため、復旧後は経過を確認しましょう。サーチコンソールの権限がない場合は、先にアクセス権を整えておく必要があります。

改ざんからの復旧後に起こりうる問題

• 再改ざん：侵入口が塞がれていないと、数日〜数週間後に再び被害に遭う
• 検索結果に不審なページが残る：削除したページが、しばらく検索結果に残ることがある
• 検索順位の回復に時間がかかる：被害の程度によっては、元に戻るまで期間が必要
• お客様・取引先への説明：被害の影響が及んだ場合は、状況の説明が必要になることがある

復旧作業後、少なくとも数週間は、サイトの状態やサーチコンソールの通知を丁寧に確認しましょう。

改ざんを防ぐセキュリティ対策チェックリスト

対策	確認
WordPress本体・プラグイン・テーマの更新	最新の状態に保てているか
使っていないプラグイン・テーマの削除	不要なものが残っていないか
管理者のパスワード	長く複雑で、他サービスと使い回していないか
二段階認証・ログイン試行回数の制限	設定されているか
管理者ユーザー	不要なユーザー・初期ユーザー名（admin等）が残っていないか
定期バックアップ	自動取得され、復元テストもできているか
SSL（https）	常時SSL化できているか
サーバー・ファイルの権限設定	適切な設定になっているか
セキュリティ対策のプラグイン・WAF	導入し、設定を確認しているか
稼働・改ざんの監視	異常を早期に検知できる仕組みがあるか

すべてを一度に整えるのが難しい場合は、「更新」「パスワード」「バックアップ」の3つから始めましょう。継続的な管理は、保守・更新代行に任せる方法もあります。

復旧を専門家に依頼するときの流れ

改ざんの復旧を依頼した場合の、一般的な進め方です。会社によって、手順や用語は異なります。

段階	内容	お客様側でやること
1. 状況のヒアリング	症状、いつ気づいたか、直前の作業、契約情報を確認	サイトURL、管理情報、症状のメモを共有
2. 初期調査	改ざんの有無・範囲の確認、見積もりの提示	調査のための権限（サーバー・管理画面）を共有
3. 緊急対応	公開停止、不正ファイル・ユーザーの隔離、パスワード変更	関係各所のパスワード変更に協力
4. 駆除・復旧	クリーンな状態への復旧、再構築	復旧後の表示・フォームの確認
5. 再発防止	侵入口の対策、更新・権限の見直し	運用ルール（更新・パスワード管理）の確認
6. 報告	原因と対応の内容、今後の注意点の報告	社内への共有、必要に応じて取引先への説明

調査の結果、侵入口が特定できないケースや、完全な駆除の保証が難しいケースもあります。その場合は、再構築を含めた対応を検討します。作業内容と、できること・できないことを、事前に丁寧に説明してくれる会社を選びましょう。

復旧を依頼する会社を選ぶときのポイント

1. 調査と見積もりのプロセスが明確：作業前に、調査結果と費用の説明があるか
2. 再発防止まで提案してくれる：復旧だけで終わらず、原因と対策まで報告があるか
3. 連絡・対応が早い：緊急時に、すぐ動ける体制か
4. WordPressに詳しい：CMSの構造を理解し、適切な対処ができるか
5. 復旧後の保守・監視も相談できる：同じ被害を繰り返さない仕組みを作れるか

「必ず完全に駆除できる」と断言する業者には注意が必要です。誠実に、見通しとリスクを伝えてくれるかを、判断の基準にしましょう。

お客様・取引先への連絡｜状況説明のポイント

改ざんの被害が、お客様に及ぶ可能性がある場合は、早めの説明が信頼の維持につながります。連絡の際は、次の点を意識しましょう。

• 事実を簡潔に伝える：何が起きたか、いつからか、現在の状況
• お客様にお願いしたいことを明示する：「該当期間にサイトへ入力された情報について、ご注意ください」など
• 対応状況と再発防止策を伝える：復旧の見込み、実施した対策
• 問い合わせ窓口を示す：電話・メールなど、連絡できる手段

個人情報の漏えいが疑われる場合は、法令上の対応が必要になることがあるため、専門家に確認しながら進めましょう。

改ざんに関するよくある誤解

• 「小さな会社のサイトは狙われない」：攻撃は自動化されており、規模に関係なく、脆弱なサイトが無差別に狙われます。
• 「表示に問題がなければ大丈夫」：訪問者には見えない形で、不正なコードが仕込まれていることがあります。
• 「セキュリティプラグインを入れたから安心」：プラグインは対策の一部です。更新・パスワード・バックアップが欠かせません。
• 「バックアップがあれば、元に戻すだけで大丈夫」：侵入口を塞がなければ、再び被害に遭います。
• 「制作会社に任せているから大丈夫」：保守が契約に含まれているかを確認しましょう。制作会社と連絡が取れない場合は管理者の調べ方を参照してください。

バックアップの正しい取り方｜改ざんから戻れる体制づくり

改ざんからの復旧で最も頼りになるのは、被害を受ける前の、正常なバックアップです。ただし、取り方を間違えると、いざというときに使えません。

• ファイルとデータベースの両方を取る：片方だけでは、サイトを復元できません。
• サーバーの外にも保管する：サーバー内にだけ置くと、サーバー障害や改ざんで一緒に失われます。
• 複数の世代を残す：最新のバックアップが、すでに改ざん後の状態かもしれないため、数世代前のものも保管します。
• 定期的に、復元テストを行う：実際に戻せるかを確認しておきます。
• 取得の頻度を決める：更新が多いサイトは毎日、少ないサイトは週1回など、更新頻度に合わせます。

バックアップ用のプラグインや、サーバー会社の自動バックアップ機能を使う方法があります。機能の仕様（保存期間・復元方法）を事前に確認しておきましょう。

管理画面のログインを守る具体的な設定例

管理画面のログインは、最も狙われやすい入口です。次のような設定で、守りを固められます。

• ログインURLを、初期設定から変更する
• ログインの試行回数を制限する（一定回数失敗したらロック）
• 二段階認証を導入する
• 管理者ユーザー名を、推測されにくいものに変更する
• ログイン通知のメールを設定し、不審なログインに気づけるようにする
• 管理者権限を持つユーザーを、必要最小限に絞る

再発防止のための社内ルールづくり

復旧して終わりではなく、同じ被害を繰り返さないために、次のようなルールを決めておきましょう。

• 責任者を決める：サイトの管理・更新・セキュリティの担当者を明確にする
• 更新のルールを決める：「月に1回、必ず更新する日」など、頻度を決める
• 退職者・外部委託先のアカウント管理：不要になった権限は、速やかに削除する
• パスワードの管理方法を統一する：使い回し禁止、管理ツールの利用
• 緊急時の連絡フローを作る：発見者→責任者→専門家の順番を決める

よくある質問（FAQ）

Q. 改ざんされたサイトの記事は、すべて消えてしまいますか？

A. 多くの場合、記事データは保全して復旧できます。ただし、被害の状況やバックアップの有無によります。

Q. ウイルス駆除にどれくらいかかりますか？

A. 被害の範囲により異なります。調査後に、作業内容と期間をご案内します。

Q. セキュリティプラグインを入れれば防げますか？

A. 有効な対策の一つですが、それだけでは不十分です。更新・パスワード管理・バックアップなどを組み合わせて対策します。

Q. サイトが表示されないときにも、改ざんの可能性はありますか？

A. あります。ホームページが表示されない原因と対処法で、他の原因とあわせて切り分け方を解説しています。

まとめ｜改ざんは「初動」と「再発防止」が重要

• 怪しいサインに気づいたら、公開停止・現状保存・パスワード変更を優先する
• 復旧は、バックアップ復元・駆除・再構築から、被害に応じて選ぶ
• 復旧後は、更新・権限管理・バックアップで再発を防ぐ
• 自力で対応が難しいときは、早めに専門家へ相談する

あわせて読みたい関連コラム

• ホームページが表示されない原因と対処法｜サーバーエラー別チェックリスト【広島で復旧相談】
• WordPress保守・更新代行の費用相場｜広島で任せる範囲と選び方
• 制作会社と連絡が取れない・倒産した…ホームページとドメインの管理者が不明なときの対処法
• 制作会社を乗り換えたい！ホームページの引っ越し手順とサーバー・ドメイン移管の注意点【広島】