ホームページが改ざんされたかもしれないときに、まずやること

1. 「うちのサイトに、知らない広告が出ていると言われて」

たとえば、こんなご相談です。

「お客さんから『御社のサイトを開いたら、変な広告が出て別のページに飛ばされた』と電話があったんです。検索してみたら、うちの社名の下に、見たこともない言葉が並んでいて。何から手をつければいいのか分からなくて」

自社のサイトが改ざんされたかもしれない。そう思ったとき、まず変なところを消して元に戻したくなります。気持ちはよく分かります。ただ、最初にやるべきなのは、消すことではありません。記録を残して、直せる人に連絡することです。

慌てて触ると、何が起きたのかが分からなくなります。原因が分からないまま見た目だけ戻すと、同じことがまた起きます。直すのは、専門の人の仕事です。貴社の仕事は、直す人が動ける材料を揃えることです。

この記事では、気づいた日に何をどの順番でやるかを書きます。攻撃の手口には触れません。経営者の方が判断すべきことと、触らずに任せることを分けて整理します。

この記事で書くこと

• 本当に改ざんかを見分ける ― 見る側の端末の問題や、SSLの警告と分ける
• 最初の1日にやる順番 ― 記録、連絡、パスワード、フォーム、取引先
• 自社でやってはいけないこと ― 善意でやって、かえって遠回りになること
• 復旧後に確かめることと、日頃の備え ― 更新・バックアップ・ID管理

2. 本当に改ざんか、先に見分ける

最初に、本当にサイトが書き換えられているのかを確かめます。ここを飛ばすと、関係のないところを触ってしまいます。

改ざんを疑う症状

次のような症状があれば、改ざんを疑います。

• 知らない広告が出る ― 貴社が載せた覚えのない広告や、画面いっぱいの案内が出る
• 別のサイトへ勝手に移る ― 開いたとたん、または何かを押したとたんに、関係のないページへ飛ばされる
• 見覚えのないページが増えている ― 貴社の住所の下に、作った覚えのないページがある
• 検索結果の表示がおかしい ― 社名の下に、関係のない言葉や外国語の文が並ぶ
• 警告が出る ― たとえば検索結果やブラウザに「このサイトは安全でない可能性があります」のような表示が出る
• 管理画面に入れない ― いつものパスワードで入れなくなった

表示の言い方は、検索サービスやブラウザの種類・版によって違います。上の文言は「たとえば」として読んでください。

見る側の端末の問題、ということもある

知らない広告が出る場合でも、サイトではなく、見ている端末のほうに原因があることがあります。たとえば、その端末に入っている別のソフトが広告を出している場合です。

切り分け方は、次のとおりです。社内のWi-Fiを切ったスマートフォンと、別の人のパソコンで、同じページを開いてみてください。どの端末でも同じ症状が出るなら、サイト側を疑います。1台だけで出るなら、まずその端末を疑います。

確かめるのは、1〜2回にとどめてください。おかしいと分かったページを、何度も開き直す必要はありません。

SSLの警告とは、別の話

住所の欄に「保護されていない通信」と出る、ページの代わりに全画面の警告が出る。この表示は、それだけでは改ざんを意味しません。通信を守る仕組み（SSL）の問題であることがあります。その場合の対処は 自社のサイトに「保護されていない通信」と出たとき にまとめてあります。

3. 最初の1日にやる順番と、被害の記録

改ざんが疑われると分かったら、その日のうちに、次の順番で進めます。

記録に残すもの

①の記録は、あとで何度も使います。原因を調べる人の手がかりになり、取引先に説明するときの材料になり、必要に応じて専門家に相談するときにも要ります。残すものは次のとおりです。

• 画面の写真 ― おかしい広告やページ、警告の画面。スマートフォンで画面を撮れば十分です
• ページの住所 ― おかしいページの「https://」から始まる住所。写真に写っていなければ書き写します
• 検索結果の表示 ― 社名で検索したときの結果の画面。関係のない言葉が出ていれば、それも撮ります
• 日時ときっかけ ― いつ、誰が、どの端末で気づいたか。お客様からの連絡なら、その日時と内容
• 届いた通知 ― サーバー会社や検索サービスからのお知らせのメールがあれば、消さずに残します

時系列のメモを、1枚つくる

記録とは別に、何をいつやったかを、時系列で1枚のメモに残してください。「10時、お客様から電話」「10時半、画面を撮影」「11時、制作会社に連絡」。この程度の書き方で構いません。

慌てているときほど、誰に何を伝えたかがあいまいになります。このメモがあれば、社内で引き継ぐときも、あとで振り返るときも迷いません。

4. 連絡と、パスワードの変更

記録が揃ったら、直せる人に連絡します。あわせて、入り口になりうるパスワードを変えます。

誰に連絡するか

連絡先の決め方は、次のとおりです。

• 保守の契約がある制作会社 ― まずここです。サイトの中身を知っているので、話が早く進みます
• 保守の契約がない ― サーバー会社の窓口です。改ざんの相談を受け付けているかを聞きます
• どちらも分からない ― 請求書を見て、「保守」「サーバー」の言葉が入っている相手を探します

制作会社と連絡が取れない場合は、別の段取りが要ります。その場合は 制作会社と連絡が取れなくなったときに、まずやること を先に読んでください。

連絡の文面には、第3章で残した記録を添えます。そのうえで、「今、こちらで触らないほうがいいところはありますか」と聞いてください。直す人によって、触ってほしくない場所が違うからです。

パスワードを変えるときの3つの注意

パスワードの変更は、侵入の入り口をふさぐための大事な作業です。ただし、やり方を間違えると効き目が薄くなります。

• 別の端末から変える ― いつも管理画面に入っている端末に問題がある可能性もあります。別のパソコンやスマートフォンから変えます
• サイトに関わるものは、まとめて変える ― サイトの管理画面だけでなく、サーバーの契約画面、ドメインの管理画面、それらの登録メールアドレスのパスワードも変えます
• 使い回しをやめる ― ほかのサービスと同じパスワードを使っていたなら、そちらも変えます

変えたパスワードは、会社として管理する場所に記録します。担当者の頭の中や、個人の手帳だけに置かないでください。

管理画面のIDを、ここで棚卸しする

パスワードを変えるついでに、管理画面に入れる人の一覧を見てください。辞めた社員、昔の制作会社の担当者、誰か分からない名前。こうしたIDが残っていれば、連絡した相手と相談して整理します。

ただし、IDを消すと調べる手がかりが消えることもあります。消すかどうかは、直す人に確かめてからにしてください。

5. フォームの停止と、取引先への連絡

ここからは、経営者の方が判断することです。連絡した相手の見立てを聞いたうえで決めます。

問い合わせフォームを止めるか

次のような場合は、直るまでフォームを止めることを考えてください。

• フォームのページそのものがおかしい ― 見覚えのない入力欄がある、送信すると別のページに飛ぶ
• サイト全体で別のページに飛ばされる ― フォームにたどり着く前に、訪れた人が不審なページへ案内されている
• 直す人が「止めたほうがいい」と言った ― 調べている間、触られたくないこともあります

止めるときは、フォームを消すのではなく、「ただいま一時停止しています」と書き、電話番号とメールアドレスを載せます。問い合わせの入口は残します。止めていた期間に届いたメールは、あとで見直してください。

取引先やお客様に知らせるか

知らせるかどうかは、訪れた人に影響が出たかどうかで考えます。

• 訪れた人が不審なページに案内されていた ― 知らせることを考えます。とくに、そのサイトから連絡をくれた取引先には
• 見た目がおかしいだけで、訪れた人への影響が見当たらない ― 直す人の見立てを聞いてから決めます
• 個人情報が漏れた可能性がある ― 貴社だけで判断せず、専門家や所管の窓口に相談してください

知らせる場合は、短く、事実だけを書きます。

「現在、弊社のホームページで、身に覚えのない広告が表示される不具合が起きています。復旧まで、弊社サイトのリンクを押さないようお願いいたします。ご連絡は、お電話またはメールでお願いいたします」

原因や犯人について、推測で書かないでください。分かっていないことを書くと、あとで訂正が必要になります。分かっていることと、お願いしたいことだけで十分です。

個人情報が関わる場合に何をすべきかは、扱っている情報や業種によって違います。ここでは一般論以上のことは書きません。業種によって違うので、所管の窓口や専門家に確認してください。

6. 自社でやってはいけないこと

善意でやって、かえって復旧が遠くなることがあります。よくあるものを4つ挙げます。

不審な連絡には、すぐに応じない

もう1つ、気をつけたいことがあります。改ざんに気づいたころに、「サイトが危険です。今すぐ対応します」という連絡が、知らない相手から来ることがあります。

本物かどうかが分からない連絡には、その場で応じないでください。サイトの管理画面やサーバーのIDを、契約していない相手に渡すのは避けます。相談先は、すでに契約している制作会社やサーバー会社、あるいは貴社が自分で選んだ相手にしてください。

7. 復旧後に確かめることと、日頃の備え

「直りました」と言われたら、貴社の側でも確かめます。そして、次に起きにくくする備えを決めます。

復旧後に、自分で確かめる5つのこと

• 症状が出ないか ― 第2章と同じように、Wi-Fiを切ったスマートフォンと別のパソコンで開き、広告や移動が出ないかを見ます
• 見覚えのないページが残っていないか ― 記録した住所を開いて、消えているかを確かめます
• 検索結果の表示 ― 社名で検索して、おかしな言葉が残っていないかを見ます。直してから検索結果に反映されるまでには、時間がかかることがあります
• フォームが届くか ― 止めていたなら再開し、自分で1回送って、通知のメールが届くかを確かめます
• 原因とふさいだ入り口 ― 何が原因で、何をしてふさいだのかを、言葉で説明してもらいます

最後の1つがいちばん大事です。原因の説明がないまま「直りました」で終わると、同じ入り口がまた使われるかもしれません。説明は、第3章の時系列のメモに書き足しておきます。

検索結果に警告が出ていた場合は、直したあとに、サーチコンソールから確認を依頼する手続きが要ることがあります。これも直す人に任せて構いません。

日頃の備え① 更新を止めない

改ざんの入り口になりやすいのは、古いまま放っておかれた部分です。管理画面のある仕組みでは、本体や追加した機能の更新が出たら、早めに入れる必要があります。

社内でこれを続けるのは、思ったより大変です。誰がやるのかを決められないなら、保守の契約に含めるか、更新の手間が少ない作りを選ぶほうが現実的です。この判断は WordPressか、それ以外か ― 中小企業のための判断軸 で詳しく書きました。

日頃の備え② バックアップの場所と、残る日数を知る

改ざんから戻すときに頼りになるのが、バックアップです。どこに、どのくらいの頻度で取られていて、何日分残るのかを、制作会社かサーバー会社に聞いておいてください。

気づくのが遅れると、残っているバックアップがすべて改ざんされたあとのもの、ということも起こりえます。残る日数を知っておけば、どれくらいの間隔でサイトを見ておけばよいかも決まります。サーバーを選ぶときの観点は サーバーとドメインを、どこで契約するか にまとめてあります。

日頃の備え③ 管理画面のIDを、会社で持つ

管理画面に入れる人は、必要な人だけ、必要な権限だけにしておきます。辞めた人のIDは、その月のうちに止めます。いちばん上の権限は、経営者が持っておきます。

パスワードの持ち方と権限の絞り方は パソコンが苦手でも、ホームページの更新を止めない方法 に書いてあります。更新を頼む形にしておけば、管理画面に入る人そのものを減らせます。

8. 雄喜晃の伴走：保守を、月額の中で引き受けます

私たち雄喜晃がお作りするホームページでは、保守が月額の料金に含まれています。サーバー、独自ドメイン、SSLも同じ月額の中です。日頃の更新や管理を、貴社が抱え込まずに済む形にしています。

私たちがやること

サイトの保守を、月額の中でお引き受けします。文章や写真の差し替えは、月5回までの更新代行の範囲で私たちが反映します。貴社の側で管理画面に入る場面が減れば、そのぶん、IDやパスワードを持つ人も少なくできます。

「サイトの様子がおかしい」とご連絡をいただいたときは、出ている症状を伺い、記録の残し方と、どこに何を確かめるかを整理するところから一緒に進めます。

料金と条件

料金は制作費0円、月額8,800円（税別）からです。6ページ構成のプランは月額13,800円（税別）です。サーバー・独自ドメイン・SSL・保守を含み、月5回までの更新代行もこの中に入っています。

最低契約期間は6ヶ月です。7〜35ヶ月で解約された場合、サイトは非公開になります。36ヶ月以上ご継続いただいた場合は、サイトをお渡しします。

私たちがやらないこと

不安な状況を材料に、作り直しや契約を急がせることはしません。また、原因の説明がないまま「もう大丈夫です」と言うこともしません。

個人情報が漏れたかどうか、誰に届け出るべきかといった法的な判断を、私たちが代わりに下すこともしません。その判断は、専門家や所管の窓口にご相談いただくものだと考えています。

神戸市北区鈴蘭台を拠点に、2025年10月から活動しています。実際にお作りしたサイトは 制作実績、料金と条件は ホームページ制作のページ に載せてあります。「今のサイトの保守を、誰がやっているのか分からない」という方は、一度ご相談ください。

9. まとめ：消す前に記録、触る前に連絡

ホームページの改ざんが疑われるときに押さえることは、5つです。

• 本当に改ざんかを見分ける ― Wi-Fiを切ったスマートフォンと別のパソコンで同じ症状が出るか。SSLの警告とは分けて考える
• 消す前に、記録を残す ― 画面の写真、住所、検索結果、日時。何をいつやったかの時系列のメモも1枚
• 直せる人に連絡し、パスワードを変える ― 保守の契約先か、サーバー会社へ。パスワードは別の端末から、まとめて変える
• フォームと取引先への連絡は、見立てを聞いて決める ― 個人情報が関わるときは、専門家や所管の窓口に相談する
• 直ったら、原因とふさいだ入り口を聞く ― そのうえで、更新・バックアップ・IDの持ち方を見直す

改ざんに気づいた日は、誰でも慌てます。ただ、貴社がやるべきことは、記録と連絡までです。直す作業は、直せる人に任せて構いません。

今日できることを1つだけ挙げます。サイトの管理画面、サーバー、ドメイン。この3つのIDを、今だれが持っているかを紙に書き出してみてください。書けない欄があれば、そこが最初に確かめる場所です。「書き出してみたら、誰が持っているのか分からない欄ばかりだった」という方は、一度ご相談ください。