自社のホームページを開いたら、見覚えのない文字や広告が表示されていた。開いた瞬間、まったく関係のない別のサイトに飛ばされた。お客様から「おたくのホームページを開いたら警告が出た」と連絡が来た。
このような場合、ホームページが改ざん(第三者による書き換え)や乗っ取りの被害を受けている可能性があります。
とても不安になる状況ですが、慌てて手当たり次第に操作するのは逆効果になることがあります。改ざんへの対応は、状況の確認、被害を広げない初動、適切な相談先への連絡、という順番で落ち着いて進めることが大切です。
この記事では、改ざんが疑われるときのサインの見分け方と、被害を最小限に抑えるための動き方を整理します。
改ざんが疑われるサイン
まず、どのような状態のとき改ざんを疑うべきかです。次のようなサインがあります。
- ホームページに見覚えのない文字、リンク、広告が表示されている
- ページを開くと、勝手に別のサイトへ転送される
- 検索結果に、自社のホームページなのに無関係な内容(海外の商品名など)が表示される
- ブラウザで開くと「このサイトは危険です」「偽のサイトにアクセスしようとしています」といった赤い警告画面が出る
- サーバー会社やGoogleから「不正なファイルが検出された」という通知メールが届いた
- 管理画面に見覚えのないユーザーが追加されている
- 身に覚えのないページやファイルが増えている
注意したいのは、自分のパソコンで見ると正常に見える場合があることです。改ざんの中には、検索エンジン経由のアクセスやスマートフォンだけを狙って動作するものがあります。「お客様には変な画面が出るのに、自分が開くと普通」という場合でも、疑いを外さないでください。
確認するときは、普段使っていないブラウザやスマートフォン(Wi-Fiを切った状態)で開いてみる、検索結果から自社サイトを開いてみる、と複数の経路で確認します。また、「site:自社のドメイン」で検索すると、自社サイトとしてインデックスされているページの一覧が見られるため、見覚えのないページが混ざっていないかの確認に役立ちます。
被害を広げないための初動
改ざんの疑いが強い場合、詳しい調査や復旧の前に、被害を広げないための手を打ちます。
1. 状況を記録する
おかしな表示のスクリーンショットを撮り、いつ・誰が・どの環境で気づいたかをメモしておきます。復旧作業を依頼するとき、この記録が原因特定の手がかりになります。
2. 各種パスワードを変更する
WordPressの管理画面、サーバーの契約者ページ、FTP、データベースのパスワードを、それぞれ別の推測されにくいものに変更します。改ざんの多くは、盗まれた・破られたログイン情報経由で行われるため、入口を閉じることが先決です。あわせて、管理画面のユーザー一覧に見覚えのないユーザーがいれば削除します。
なお、パスワードを変更するための管理情報自体がわからない状態なら、ホームページのログイン情報がわからないときの確認ポイントで確認を進めてください。
3. サーバー会社に連絡する
契約しているサーバー会社のサポートに「改ざんの疑いがある」と伝えます。サーバー会社側でファイルのスキャン、感染ファイルの特定、必要に応じたサイトの一時停止などの対応をしてもらえる場合があります。通知メールが来ていた場合は、その内容も伝えます。
4. 作業用パソコンの安全も確認する
ログイン情報が盗まれた経路として、更新作業に使っているパソコンのウイルス感染があります。パスワードを変更しても、パソコン側が感染したままでは新しいパスワードも盗まれます。セキュリティソフトでのスキャンを実施してください。
5. 影響が大きい場合は一時停止も検討する
閲覧者に危険が及ぶ状態(ウイルス配布、偽サイトへの誘導など)が確認された場合は、復旧までホームページを一時的に非公開にする判断もあります。サーバー会社に相談すれば、メンテナンス表示への切り替えなどの方法を案内してもらえます。営業への影響は痛いですが、お客様に被害が出ることの方が損失は大きくなります。
誰に相談するか
改ざんからの復旧は、感染したファイルの特定と除去、侵入経路の特定と修正が必要で、自力での完全な対応は難しい領域です。中途半端に一部だけ削除しても、残った侵入口からすぐに再発することが多いためです。相談先は次の順で検討します。
サーバー会社
最初の相談先です。スキャンや状況確認など、契約内で対応してもらえる範囲を確認します。ただし、サーバー会社が行うのは基本的にサーバー側の対応までで、WordPressの中身の駆除や復旧までは対応外のことが一般的です。
保守・管理を依頼している会社
保守契約がある場合は、契約範囲に障害対応が含まれているか確認して連絡します。日頃からバックアップを取ってもらえていれば、復旧は大きく早まります。
復旧対応のできる専門業者・制作会社
保守契約がない場合や、管理していた人と連絡が取れない場合は、改ざん復旧に対応できる業者へ相談します。相談時には、最初に記録した状況(スクリーンショット、通知メール、気づいた日時)と、管理情報がどこまで手元にあるかを伝えると、見積もりと対応が早くなります。
管理を任せていた相手と連絡が取れない状態での被害は、対応の難易度が上がります。ホームページを作った人と連絡が取れないときの確認ポイントも参考に、契約と管理情報の確認を並行して進めてください。
復旧の考え方
復旧の基本は、「きれいな状態に戻す」ことと「侵入口を塞ぐ」ことのセットです。どちらか片方では再発します。
きれいな状態に戻す方法は、大きく2つあります。
- バックアップからの復元: 改ざん前の正常なバックアップがあれば、そこへ戻すのが確実です。サーバーの自動バックアップ機能が有効になっていないか、サーバー会社に確認してください
- 感染ファイルの特定と除去: バックアップがない場合は、ファイルを調査して不正なコードを取り除きます。専門的な作業になるため、業者への依頼が現実的です
そのうえで、侵入口を塞ぎます。古いWordPress本体・テーマ・プラグインの脆弱性が入口になっていることが非常に多いため、復旧とあわせてこれらの更新が必要です。長年更新していなかった場合の確認事項はWordPressを長年更新していない場合に確認することで紹介しています。
また、ブラウザや検索結果に警告が出ていた場合は、復旧後にその解除手続き(サーチコンソールからの再審査リクエストなど)も必要です。復旧を依頼する際に、警告の解除まで含まれるかを確認しておきましょう。
再発を防ぐために
復旧が済んだら、次の4点を整えておくと、再発リスクを大きく下げられます。
- WordPress本体・テーマ・プラグインを更新できる体制にする(使っていないテーマ・プラグインは削除する)
- パスワードを強固なものにし、使い回しをやめる
- バックアップが定期的に取られる状態にする(サーバーの自動バックアップの有効化が手軽です)
- 誰がセキュリティ面の面倒を見るのかを決める(自社で難しければ、保守契約の検討を)
改ざん被害の多くは、狙われたというより「更新されずに放置されたサイトが、機械的な攻撃に引っかかった」ものです。裏を返せば、基本的な更新と管理が続いていれば、大半は防げる被害です。
よくある質問
改ざんされたら、お客様の情報も漏れていますか?
サイトの構成によります。お問い合わせフォームだけの一般的なホームページであれば、サイト内に顧客情報が保存されていないことも多く、その場合は情報漏えいの心配は比較的小さくなります。一方、会員機能や購入機能があるサイトでは、データベース内の情報が影響を受けた可能性の確認が必要です。どちらの場合も、何が保存されていたサイトなのかを整理したうえで、復旧を依頼する業者に影響範囲の確認を依頼してください。
改ざんされたことを、お客様に知らせるべきですか?
閲覧者に実害が及んだ可能性がある場合(警告が表示されていた期間がある、偽サイトへ誘導されていたなど)は、復旧後に経緯と対応を告知する方が、信頼を保てます。逆に、影響が確認されない軽微なケースまで大きく告知する必要はありません。影響範囲の確認結果をもとに判断してください。判断に迷う場合は、復旧を依頼した業者や相談先に意見を求めるとよいでしょう。
古いホームページを放置しています。まだ被害はないようですが、大丈夫でしょうか?
「まだ何も起きていない」ことと「安全である」ことは別です。特に長年更新していないWordPressは、知られた侵入口が塞がれていない状態が続いているため、時間の問題になっていることがあります。被害が出てからの復旧より、事前の更新・整理の方が費用も手間も小さく済みます。現状の確認から始めることをおすすめします。
まとめ
ホームページの改ざん・乗っ取りが疑われるときは、「サインの確認と記録 → パスワード変更とサーバー会社への連絡 → 復旧できる相手への相談 → 復旧と侵入口の修正 → 再発防止」の順で進めます。慌てて場当たり的に操作するより、記録を残して適切な相手につなぐことが、結果的に最短の復旧につながります。
そして、改ざん被害の背景には、更新されないまま放置された期間があることがほとんどです。復旧はゴールではなく、管理体制を立て直す機会と捉えてください。
おかしな表示が出ているが改ざんかどうか判断がつかない場合や、管理情報の確認から必要な場合は、現状の切り分けからお手伝いしますので、お気軽にご相談ください。
無料のホームページ見直しチェックを試す