ホームページが乗っ取られた・改ざんされた。
まず確かめることと、誰に頼むか。
先に結論を書きます。慌てて消したり直したりする前に、見たものを記録して、レンタルサーバーの会社に連絡してください。WordPress の公式の手引きも、最初の一手に「記録」を挙げています。
- 本当に起きているかを、5つの画面で確かめる（費用はかかりません）
- 見たもの・気づいた時刻・最近やったことを書き留める
- サーバーの会社と、作った会社（保守を頼んでいる先）に知らせる
書き換えられたファイルを探して消す作業は、専門の作業です。このページは直し方の手順書ではなく、確かめる・残す・頼む、までを書きます。
乗っ取り・改ざんは、どんな形で見つかるのか
WordPress の公式の手引き（日本語版）は、被害の例として次のようなものを挙げています。
「スパムサイトやマルウェアサイトへのリンクが埋め込まれた」「悪意あるスクリプトを埋め込まれた」「ユーザーログインデータの漏洩」「既存ファイルの削除、不正ファイルの追加」
「ブラウザで自分のサイトにアクセスすると、そこには真っ白で何も表示されなかったり、アダルトサイトに自動で転送されたり」
英語版の最新の手引き（2026年7月26日更新）は、はっきりした兆しとして、次のようなものを並べています（当サイトで訳しました）。
| 兆し（英語の原文） | 意味 |
|---|---|
| Website is blacklisted by Google, Bing, etc.. | Google や Bing に「危ないサイト」と見なされている |
| Host has disabled your website | レンタルサーバーの会社が、サイトを止めた |
| Readers complaining that their desktop AV’s are flagging your site | 見た人のウイルス対策ソフトが警告を出す、と言われた |
| Notice behavior that was not authorized (i.e., creation of new users, etc…) | 作った覚えのない利用者が増えているなど、許していない動きがある |
| You can visibly see that your site has been hacked when you open it in the browser | 開くと、見て分かる形で書き換わっている |
※ 出典＝WordPress.org「FAQ My site was hacked」（英語版・最終更新 2026年7月26日）と、同じ文書の日本語版「FAQ ハッキングされた場合は」（最終更新 2024年9月26日）。どちらも2026年10月6日に確認。英語版と日本語版で食い違うところは、新しい英語版を正にしています。
上の兆しのうち、見た人のウイルス対策ソフトの警告や、サーバーの会社がサイトを止めた知らせのように、人から言われて気づく形もあります。言われたときに、その場で確かめられる画面を知っておくのが、次の Step です。
本当に起きているかを、自分で確かめるには
次の5つは、確かめるだけです。直す作業ではありません。WordPress で作ったサイトかどうかで、見られる画面が違います（3と4は WordPress のサイトだけ）。
-
いつもと違う端末で、自社のページを開く
使うもの：ふだん使わないスマホやパソコントップと、よく見られるページを開きます。別のサイトへ飛ばされないか、見覚えのない文やリンクが無いかを見ます。
いつもの端末だけで見ると、気づかないことがあります（Google のヘルプも、警告は見る人の状況によって出たり出なかったりすると書いています）。 -
Search Console の「セキュリティの問題」を開く
使うもの：Google Search Console（無料）→ 左のメニュー（スマートフォンでは左上の「≡」から開きます）の「セキュリティと手動による対策」→「セキュリティの問題」Google のヘルプは、この画面について次のように書いています。
Search Console ヘルプ（原文）「サイト上にセキュリティの問題がない場合は、緑色のチェックマークと適切なメッセージが表示されます。」
緑のチェックなら、Google は問題を見つけていません。問題が出ていれば、何が見つかったかがこの画面に出ます。Search Console に登録していない場合は、作った会社に「登録しているか」を聞いてください。 -
作った覚えのない管理者がいないか（WordPress のサイト）
使うもの：WordPress の管理画面 →「ユーザー」知らない名前や、知らないメールアドレスの管理者がいないかを見ます。
いれば、Step 03 に進みます。消す前に、名前とメールアドレスを書き留めてください（記録が先です）。 -
本体・プラグイン・テーマが古いままでないか（WordPress のサイト）
使うもの：WordPress の管理画面の「更新」のお知らせ更新のお知らせがたまっていないかを見ます。
たまっていれば、起きやすい状態です。ただし、すでに書き換えられている疑いがあるときは、更新ボタンを押す前に Step 03 の記録とサーバーの会社への連絡を先にしてください。 -
管理画面に入るパソコンが、感染していないか
使うもの：ふだん管理画面に入るパソコンのウイルス対策ソフト（全体の検査）WordPress の手引きは、出どころがサイトの外にあることを書いています。
WordPress 公式の手引き（日本語版・原文）「多くの場合、攻撃や感染の出どころはローカルコンピュータ、たとえばノートパソコン、デスクトップ PC です。」
サイトの更新を外に頼んでいるなら、頼んでいる先のパソコンも確かめてもらうよう依頼します（JPCERT/CC の2013年の注意喚起も、委託先への確認を挙げています）。
起きていたら、まず何をするか
英語版の手引きは、最初の一手をはっきり書いています。
「The first actionable step you should take post-compromise is documentation.」＝被害に気づいたあと、最初に取るべき行動は記録です。
1. 書き留める3つ
- 何を見て、乗っ取られたと思ったか（画面の写真も）
- いつ気づいたか（日時）
- 最近やったこと（プラグインを入れた・テーマを変えた・誰かに管理画面を渡した など）
手引きが挙げている3つの問い（What are you seeing… / What time did you notice… / What actions have you taken recently…）をもとにしたものです。どこかに頼むとき、この控えがあると話が早く進みます。
2. レンタルサーバーの会社に知らせる
「共有サーバーを利用している場合は特に、あなたのサイト以外にも被害が及んでいるかもしれません。」
同じサーバーのメールや、ほかのサイトまで影響していないかを確かめてもらいます。
3. パスワードは「全部」変える
WordPress の管理画面だけでは足りません。日本語版の手引きは、変えるものを並べています。
「アクセスポイントには、FTP または SFTP、WP-ADMIN、CPANEL、その他サーバーで使用されるすべての管理パネル、そして MYSQL があります。」
「攻撃者がパスワードを盗んでブログにログインした場合、パスワードを変更してもその人がログインした状態になってしまいます。これは、Cookie がまだ有効なためです。」
どれがどこにあるか分からないときは、無理に触らず、サーバーの会社か作った会社に「どこを変える必要があるか」を聞いてください。直したあとにもう一度変えることも、英語版の手引きが勧めています。
4. 被害を受けた状態の控えを残す
「「被害を受けたサイトのバックアップ」ということがはっきり分かるようにしておくようご注意ください。」
あとで戻すときに、うっかり被害を受けたほうを戻さないためです。控えの取り方は、サーバーの会社か作った会社に聞きます。
どこに相談すればいいのか
相談先は、自分のサイトの話か、ほかのサイトの話かで分かれます。
| 相談先 | どんなとき | できること・できないこと（原文から） |
|---|---|---|
| レンタルサーバーの会社 | 自分のサイト（最初に） | 同じサーバーのほかのサイトやメールまで影響していないかを確かめてもらう |
| 作った会社・保守を頼んでいる先 | 自分のサイト | 契約で決めた範囲で対応してもらう（範囲は契約書と料金表で確かめる） |
| IPA（情報処理推進機構）の企業・組織向けの相談窓口 | 自分のサイト・何をすればいいか分からないとき | 「起きている事象をヒアリングし、被害発生の可能性について助言します。」「インシデント対応を行う専門業者一覧の紹介をします。」／「ご相談いただく事案の調査や解析の実施は対応しておりません。」（相談はメール） |
| JPCERT/CC | ほかのサイトが改ざんされているのを見つけたとき | サイトの管理者に改ざんを連絡し、修正や原因の調査を依頼する／「犯人や行為者などの特定や、捜査、取り締まりの依頼」は対応できない（電話での報告は原則受け付けていない） |
※ 出典＝IPA「サイバーセキュリティ 相談・届出窓口一覧」（最終更新 2025年4月15日）・JPCERT/CC「インシデント対応依頼」（最終更新 2026年3月13日）。どちらも2026年10月6日に確認。個人向けの窓口（IPA「情報セキュリティ安心相談窓口」）は、冒頭で企業・組織の方を別の窓口へ案内しています。
お客さんの情報が漏れたかもしれないとき
問い合わせフォームやメールで受け取った名前や連絡先が、乗っ取りや改ざんで外に出たかもしれないときは、上の相談先とは別に、個人情報保護委員会への報告が決まりになっている場合があります。個人情報保護法の第26条は、こう書いています。
「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。」（ただし書きは略）
どんな事態が当たるかは、施行規則の第7条が4つ並べています。乗っ取り・改ざんに近いのは3つ目で、条文は「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ」の「漏えい等が発生し、又は発生したおそれがある事態」です（かっこ書きは略）。漏れたと確かめられていなくても、「おそれ」の段階が書かれています。個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページは、この3つ目の例として「ウェブサイトが改ざんされ、ユーザーが入力した個人情報が第三者に送信された場合」を挙げ、報告の期限を「発覚したら、まずは速やかに報告してください。」「不正な目的で行われたおそれがある場合は、発覚日から、60日以内」と書いています。同じ法律の第26条第2項は、本人への通知も求めています。
※ 出典＝e-Gov 法令検索「個人情報の保護に関する法律」第26条・「個人情報の保護に関する法律施行規則」第7条・第8条、個人情報保護委員会「漏えい等の対応とお役立ち資料」（どれも2026年10月9日に確認）。自社が個人情報取扱事業者に当たるか、起きたことが報告の対象になるかは、当サイトでは判断しません。個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849）か、お取引のある弁護士にご相談ください。事業者に当たるかの考え方はプライバシーポリシーは要るかに原文を置いています。
相談するときは、Step 03 の「書き留める3つ」に加えて、そのサイトで何を受け取っていたか（フォームの項目・受け取ったメールの件数のおおよそ）を書き出して持っていくと、話が早くなります。
直ったあと、何を決めておくか
直す作業そのものは専門の仕事ですが、直ったあとに決めておくことは、事業者さんが決められます。どれも公式の資料が挙げているものです。
その前に1つ。Step 02 で Search Console の「セキュリティの問題」に知らせが出ていたなら、直したあとに同じ画面から「審査をリクエスト」を送ります。
「ほとんどの再審査は、数日から数週間かかります」
「リクエストに対する最終決定が通知されるまではリクエストを再送信しないでください。」
※ Google Search Console ヘルプ「セキュリティの問題レポート」の「再審査にかかる期間」ほか。2026年10月7日に確認。
| 決めること | 出どころ（原文） |
|---|---|
| 本体・プラグイン・テーマの更新を、誰がいつやるか | 「Older versions are more prone to hacks than newer versions.」（WordPress 英語版の手引き）／「脆弱性は日々発見されるので…ソフトウェアの更新や問題の回避を行ってください。」（IPA「安全なウェブサイトの作り方」） |
| バックアップを、誰がどれくらいの間隔で取るか | 「It’s important you keep regular backups of your database and files.」（WordPress 英語版の手引き） |
| 使っていない管理者を消す | 「必要の無いサービスやアカウントは停止または削除してください。」（IPA「安全なウェブサイトの作り方」） |
| プラグインやテーマを、どこから入れるか | 「Do not get plugins/themes from untrusted sources.」（WordPress「Hardening WordPress」） |
| 管理画面に入るパソコンを限る・最新にする | 「Web サイトのコンテンツ更新は、特定のPCや場所 (IP アドレスなど) に限定する。」（JPCERT/CC 注意喚起・2013年6月7日） |
※ IPA「安全なウェブサイトの作り方 改訂第7版」第2章2.1（作る側に向けた資料）・WordPress「Hardening WordPress」（更新日の表示なし）・JPCERT/CC「Web サイト改ざんに関する注意喚起」（2013年の注意喚起。今も通じる確認事項だけを引きました）。いずれも2026年10月6日に確認。
保守を外すかどうかで迷っているなら、先に「乗っ取られたとき、誰に連絡するか」を決めておいてください。保守の中身の分け方は 管理費・保守費は払い続けるべきか に書きました。
どこから先は頼んだほうがいいか
自分で進められる
見る・書き留める・知らせる
- 5つの画面で確かめる
- 見たもの・時刻・最近やったことを書き留める
- サーバーの会社と作った会社に知らせる
- 直ったあとに決めておくことを決める
頼んだほうがいい
サイトの中を触る・調べる
- 書き換えられたファイルを探して消す → 作った会社・専門の業者（IPA が業者の一覧を紹介しています）
- どこから入られたかを調べる → 専門の業者
- 控えから戻す・設定を変える → 作った会社・サーバーの会社
「ひとつでも見落とせば、サイトがオンラインになった瞬間にまたハッキングされてしまうでしょう。」
IZANAなら何をして、いくらか
できることとできないことを先に書きます。改ざんの調査や、書き換えられたファイルを探して消す作業は、当方の料金表に載せている仕事ではありません。防げる・直るといったお約束もしません。
| 頼めること | やること | 費用（税抜） |
|---|---|---|
| 無料診断 | サイトのアドレスから4項目（問い合わせへの動線・伝わり方・プロ感・検索とGoogleマップでの見つかり方）を読み、まず直すところ3つをPDFでお返しします | 0円 |
| ライト保守（WordPress のサイト） | WordPress本体・プラグイン更新、定期バックアップ（月1回）、セキュリティ監視、障害時一次対応、メールサポート | ¥10,000/月 |
| LP（1枚のページ・静的HTML） | WordPress のログインやプラグインが無い作りなので、WordPress の保守は要りません | 30万円〜 |
| 最大5ページ構成 | 会社概要・問い合わせを分けて置ける形 | 50万円〜 |
| 最大10ページ構成 | 仕事の種類ごとのページまで分けて載せる形 | 80万円〜 |
※ 保守の中身と金額は 料金ページ と同じです。保守はお勧めしていますが、強要はしません。WordPress を使わないサイト（LP に限りません）を Cloudflare で公開する場合は、設定と公開の手入れのために保守プランへのご加入が条件です（料金ページのとおり）。
よくある質問
乗っ取られたかもしれません。まず何をすればいいですか？
消したり直したりする前に、見たもの・気づいた時刻・最近やったこと（プラグインを入れた、テーマを変えた など）を書き留めてください。WordPress の公式の手引きも、最初の一手に記録を挙げています。そのうえで、レンタルサーバーの会社と、作った会社（保守を頼んでいる先）に知らせます。
パスワードを変えれば、それで終わりですか？
終わりとは言えません。WordPress の管理画面だけでなく、FTP、サーバーの管理画面、データベースなど、入口のパスワードを全部変える必要があります。また、公式の手引きは、パスワードを変えても、すでにログインしている相手はそのままになることがあると書いています。直したあとにも、もう一度変えてください。
自分で直せますか？
書き換えられたファイルを探して消す作業は、専門の作業です。公式の手引きは、ひとつでも見落とすとまた入られる、と書いています。自分でやれるのは、確かめる・書き留める・知らせる、までと考えてください。
乗っ取りや改ざんのことは、どこに相談すればいいですか？
自分のサイトなら、まずレンタルサーバーの会社と、作った会社です。何をすればいいか分からないときは、IPA（情報処理推進機構）の企業・組織向けの相談窓口にメールで相談できます（助言と専門業者の一覧の紹介まで。調査や解析はしていません）。ほかのサイトが改ざんされているのを見つけたときは、JPCERT/CC に Web フォームかメールで知らせます。
1枚のページ（LP）でも、乗っ取られることはありますか？
WordPress の管理画面やプラグインが無い作りなら、このページの3と4（管理者・更新）は当てはまりません。ただ、サーバーやドメインの管理画面、更新に使うパソコンは同じように確かめてください。当方の LP（静的HTML）は WordPress の保守が要らない作りですが、「乗っ取られない」とはお約束しません。
直ったあと、
問い合わせまでの道筋も見直したいとき。
ホームページのアドレスを1つ送っていただければ、問い合わせまでの道筋を読み、まず直すところ3つをPDFでお返しします。毎月5社まで・費用はかかりません。売り込みの電話はいたしません。無料診断は、乗っ取りや改ざんの点検ではありません（点検や調査の相談先は Step 04 です）。