先に答え：乗っ取り・改ざんの確かめ方と、最初にやること
- いちばん手軽な確かめ方は、Google で「site:自分のドメイン」と検索することです。作った覚えのないページや、関係のない商品のページが出てきたら、改ざんされている可能性が高いです。
- 次に、Google の「セーフ ブラウジング」のサイト確認と、Search Console の「セキュリティの問題」を見ます。どちらも無料で、Google がそのサイトを危険と判断しているかが分かります。
- 改ざんが分かったら、消す前に今の状態を写し（コピー）に残し、サイトをいったん止め、安全なパソコンからパスワードを全部変えます。その上でサーバー会社と制作会社に連絡します。
- お客さまの情報（個人データ）が漏れたおそれがあるときは、個人情報保護委員会への報告と本人への通知が必要になる場合があります。速報の目安は、知ってからおおむね3〜5日以内です。
- 見た目を元に戻すだけでは、同じ入口からまた入られます。古いソフト、弱いパスワード、放置したテスト用のサイトという原因をふさぐところまでが対処です。
ホームページの乗っ取り・改ざんでよくあるサイン
トップページが書き換えられるような分かりやすい改ざんばかりではありません。多いのは、持ち主には普段どおりに見せて、検索から来た人やスマホの人だけを別のサイトへ飛ばす手口です。次のうち1つでも当てはまれば、確かめる価値があります。
- 勝手に別のサイトへ飛ぶ：検索結果やスマホから開いたときだけ、通販・アダルト・懸賞などのサイトへ移る。お客さまから「変なページに飛ばされた」と言われる。
- 検索結果に知らないページが出る：自社の名前で検索すると、偽ブランド品の通販のような日本語のページや、外国語のページが自社のドメインで出てくる。
- 警告が出る：ブラウザーに赤い画面で「危険なサイト」と表示される。または Search Console からセキュリティの問題のお知らせメールが届く。
- 知らない管理者がいる：WordPress などの管理画面に、作った覚えのない利用者（管理者）が増えている。
- 知らないファイルがある：サーバーの中に覚えのないファイルがある。更新していないのに日付が最近になっている。
- メールが勝手に送られている：送った覚えのないメールが大量に出ている、宛先不明の戻りメールが急に増えた。
- サーバー会社から連絡が来た：「不正なファイルを検知した」「迷惑メールの送信元なので止めた」という通知。
1つ当てはまっても、乗っ取りとは限りません。広告の配信元や、見る側のパソコンが原因のこともあります。次の手順で事実を確かめます。
サイトが改ざんされているか確認する方法（かんたんな順）
上から順に、だれでもできるものから並べました。1〜4 は管理画面に入らなくてもできます。
- 1
Google で「site:自分のドメイン」と検索する
Google の検索窓に、site:example.com のように「site:」に続けて自社のドメインを入れます。Google が知っている自社のページの一覧が出ます。作った覚えのない題名、関係のない商品、外国語のページがないか、件数が実際より極端に多くないかを見ます。
- 2
Google セーフ ブラウジングでサイトの状態を見る
セーフ ブラウジングのサイト ステータス を開き、自社のアドレスを入れます。Google が安全でない内容を見つけているかどうかが、サイトを開かずに分かります。
- 3
シークレット ウィンドウとスマホで開く
ブラウザーのシークレット（プライベート）ウィンドウで、Google で社名を検索し、検索結果から自社のサイトを開きます。同じことを、Wi-Fi を切ったスマホでも行います。「初めて来たお客さま」と同じ条件で見るためです。
- 4
Search Console の「セキュリティの問題」を見る
Google Search Console に自社のサイトを登録してあれば、左のメニューの「セキュリティと手動による対策」→「セキュリティの問題」を開きます。ハッキングされたコンテンツやマルウェアなどが見つかっていれば、例のアドレスと一緒に出ます。未登録なら、登録しておくと今後の知らせも届きます。
- 5
管理画面の利用者を確かめる
WordPress なら「ユーザー」の一覧で、権限が「管理者」の人を全員確かめます。知らない名前があれば、乗っ取りの強い証拠です。入れた覚えのないプラグインがないかも見ます。
- 6
最近変わったファイルを確かめる
サーバーの管理画面のファイル マネージャーなどで、ファイルを日付の新しい順に並べます。更新していない日に書き換わったファイル、画像のフォルダーに置かれたプログラム（.php）、意味のない英数字の名前のファイルが目印です。
- 7
サーバー会社に聞く
判断がつかないときは、サーバー会社に「改ざんの疑いがある。不正なファイルや不審なログインの記録がないか」と聞きます。ウイルスの検査や記録（ログ）の確認をしてくれる会社もあります。
どれにも出なくても、「改ざんされていない」という保証にはなりません。Google が気づいていないだけのこともあります。サインが続くなら、サーバー会社や専門の業者に中を見てもらってください。
乗っ取り・改ざんが分かったら、最初にやること
すぐに消して元に戻したくなりますが、先に消すと、どこから入られたか、何を見られたかが分からなくなります。次の順番で進めます。
- 1
証拠を残す（消さない）
おかしな画面の写真、検索結果、届いた通知を保存します。できれば、サーバーの中のファイルと接続の記録（アクセスログ）を別の場所に写します。やり方が分からなければ、サーバー会社に「ログとファイルを保全したい」と伝えます。
- 2
サイトをいったん止める
お客さまが被害にあわないように、メンテナンス中の表示に切り替えるか、公開を止めます。分からなければサーバー会社に頼みます。
- 3
安全なパソコンからパスワードを全部変える
サーバーの管理画面、FTP、データベース、WordPress などの管理者、メールのパスワードを変えます。普段のパソコンがウイルスに感染してパスワードを盗まれた可能性もあるので、ウイルス検査をすませた別の端末から行います。
- 4
サーバー会社と制作会社に連絡する
いつ、何に気づいたかを伝え、調査と復旧をだれが行うかを決めます。自社だけで抱えないことが大事です。
- 5
きれいなバックアップから戻す
改ざんされる前の日付のバックアップから戻します。いつから入られていたかを知るのに、手順1の記録が役に立ちます。バックアップがなければ、不正なファイルの除去を専門の業者に頼むことになります。
- 6
全部を最新にして、入口をふさぐ
本体、プラグイン、テーマ、サーバーのソフトを最新にします。使っていないプラグイン、知らない管理者、放置したテスト用のサイトは消します。ここを飛ばすと、同じ方法でまた入られます。
- 7
Google に再審査を頼む
警告が出ていた場合は、全部直した後で、Search Console の「セキュリティの問題」から審査をリクエストします。Google の案内では、審査には数日から数週間かかります。
どこに相談・報告するか（警察・IPA・個人情報保護委員会）
公的な相談窓口があります。電話番号や受付時間は、それぞれの公式ページで確かめてください。
| 相手 | どんなとき | 窓口 |
|---|---|---|
| サーバー会社・制作会社 | まず最初に。止める・調べる・戻すの実作業 | 契約先の問い合わせ窓口 |
| 警察 | 不正アクセスや改ざんの被害の相談・通報 | 警察庁「サイバー事案に関する相談窓口」（オンラインの受付と、都道府県警察の窓口の一覧） |
| IPA（情報処理推進機構） | 初動で何をすべきかの助言がほしいとき | 企業・組織は「不正アクセス特別相談窓口」、個人は「情報セキュリティ安心相談窓口」 |
| 個人情報保護委員会 | お客さまなどの個人データが漏れた、またはそのおそれがあるとき | 漏えい等の対応とお役立ち資料（報告フォームあり） |
個人情報の報告について。個人情報保護法では、個人データの漏えい等（そのおそれを含む）が一定の場合に当たるとき、個人情報保護委員会への報告と、本人への通知が義務になっています。対象の1つが「不正の目的をもって行われたおそれがある行為」によるもので、不正アクセスはこれに当たります。この場合は人数が少なくても対象です。同委員会のガイドラインは、問い合わせや注文の入力ページが改ざんされて入力内容が第三者に送られた場合などを例に挙げています。
報告は2回に分かれます。速報は、知ってからおおむね3〜5日以内が目安。確報は原則30日以内で、不正の目的によるおそれがある場合は60日以内です。業種によっては、報告先が所管の省庁になります。自社が当てはまるかの最終判断は、同委員会のページか、弁護士などの専門家に確かめてください。
IPA の窓口は助言をするところで、個別の端末や記録の調査、復旧の作業は行いません。調査や復旧は、サーバー会社・制作会社・専門の業者に頼みます。
なぜホームページは乗っ取られるのか（よくある3つの入口）
小さな会社が名指しで狙われることは多くありません。攻撃する側は、弱点のあるサイトを機械で大量に探し、見つかった順に入ります。
古いままのソフト
WordPress などの本体、プラグイン、テーマを更新していないと、公表ずみの弱点（脆弱性）がそのまま残ります。使っていないプラグインも、入っているだけで入口になります。
弱い・使い回しのパスワード
短いパスワード、ほかのサービスと同じパスワード、退職した人や以前の制作会社のアカウントが残っている状態。パソコンのウイルスから盗まれることもあります。
忘れられたテスト用サイト
リニューアルのときに作った test や old などのサブドメインやフォルダー。だれも更新しないので、いちばん古いソフトのまま残り、そこから本番に入られます。
WordPress を使っている場合の点検のしかたは、WordPress の脆弱性の調べ方 にまとめています。
再発を防ぐために続けること
- 本体・プラグイン・テーマの更新を、月に1回は確かめる（自動更新が使えるなら有効にする）。
- 管理者は必要な人だけにして、長くて使い回していないパスワードと、2段階の確認（二要素認証）を使う。
- 使っていないプラグイン、テスト用のサイト、古いバックアップのファイルを公開の場所から消す。
- バックアップを自動で取り、サーバーとは別の場所にも置く。戻せることを一度は試す。
- Search Console に登録しておく。Google が問題を見つけたときにメールが届く。
- 外から見える弱点を、定期的に点検する。
最後の点検について、Security Ready にできないことを先に書きます。乗っ取られた後の復旧や、不正なプログラム（マルウェア）の駆除は行いません。 外からの診断で「改ざんされていない」と証明することもできません。
できるのは、入口に使われる弱点を先に見つけることです。外からの診断で、古いソフトの既知の弱点、見せてはいけないファイルの公開、忘れられたサブドメインなどを調べ、直し方と一緒に届けます。スタンダードの内部診断では、Linux のサーバーで、裏口（Web シェル）によくある書き方のファイルなどの「乗っ取られた跡」も数えます。送るのは件数とファイルの場所だけで、見つからなくても安全の保証ではありません。
外から見える設定だけなら、30秒かんたんチェック で証明書、https、なりすましメール対策、忘れられたサブドメインが分かります。このチェックはマルウェアや改ざんを見つけるものではありません。 復旧後の入口の点検には、初回無料の精密診断 が使えます。
よくある質問
ホームページが乗っ取られたかどうか、無料で確かめられますか？
できます。Google で「site:自分のドメイン」と検索する、Google セーフ ブラウジングのサイト ステータスで調べる、Search Console の「セキュリティの問題」を見る、の3つは無料です。ただし、どれにも出ないことは安全の保証ではありません。
自分のパソコンでは普通に見えます。それでも改ざんされていることはありますか？
あります。持ち主やログイン中の人には普段の画面を見せ、検索から来た人やスマホの人だけを別のサイトへ飛ばす手口があります。シークレット ウィンドウで検索結果から開く、スマホの携帯回線で開く、の2つで確かめてください。
改ざんされたページを消せば解決しますか？
見えているページを消すだけでは足りません。入られた入口と、中に置かれた裏口が残っていれば、数日でまた同じことが起きます。パスワードの変更、きれいなバックアップからの復元、ソフトの更新までを一続きで行います。
警察には届けたほうがいいですか？
不正アクセスや改ざんは犯罪にあたり得るので、相談・通報ができます。警察庁の「サイバー事案に関する相談窓口」のページに、オンラインの受付と都道府県警察の窓口の一覧があります。相談のときに、保存しておいた画面や記録が役に立ちます。
個人情報が漏れたかどうか分からないときも、報告は必要ですか？
個人情報保護法の報告は、漏えいが確定した場合だけでなく「発生したおそれがある」場合も対象です。お客さまの情報を扱うサイトやサーバーに不正アクセスの跡があるなら、個人情報保護委員会のページで自社が当てはまるかを確かめ、迷うときは専門家に相談してください。
警告はいつ消えますか？
全部直した後に、Search Console の「セキュリティの問題」から審査をリクエストします。Google の案内では、審査は数日から数週間かかります。直りきっていないうちに何度も送ると、かえって時間がかかります。
Security Ready で、乗っ取られたサイトを直してもらえますか？
いいえ。復旧の作業やマルウェアの駆除は行っていません。Security Ready は、入口になる弱点を見つけて直し方を届ける診断です。復旧はサーバー会社・制作会社・専門の業者に頼み、その後の再発防止の点検に使ってください。
あなたの会社のサイトを、無料で確かめる
無料の精密診断は、外から数千の検査項目であなたのサイトを調べ、見つかった問題ごとに直し方をお知らせします。お支払い情報は不要です。診断するのは、管理者の許可を得たサイトだけです。