ホームページが乗っ取られた・改ざんされたときの対処法｜気づくサイン・最初の1時間・復旧費用の目安

結論：自分で消そうとせず、まず止めて、専門の会社に相談してください

乗っ取りや改ざんに気づいたら、やることは3つです。①自分で直そうとしない、②サイトを一時的に止める、③専門の会社に相談する。慌てて書き換えられたファイルを消したり、パスワードだけ変えたりしても、侵入口が残っていればすぐに元に戻されます。しかも、原因を調べるための記録が消えてしまいます。

見えている部分を消しても、直ったことにはなりません。侵入口（古いプラグイン、弱いパスワードなど）をふさがない限り、何度でも書き換えられます。

乗っ取り・改ざんに気づくサイン

多くの場合、会社の人より先に、お客様や外部の人が気づきます。次のようなことがあれば、改ざんを疑ってください。

サイン	何が起きているか
サイトを開くと、知らない通販サイトなどに飛ばされる	転送の仕組みを仕込まれている。カード情報を盗む詐欺サイトに誘導されるケースが多い
検索結果に、自社の名前で見覚えのないページ（ブランド品、薬など）が出る	大量の偽ページを作られている
Googleで検索すると「このサイトは危害を及ぼす可能性があります」と出る	Googleに危険なサイトと判定されている
「お宅のサイトから変なメールが来た」と言われる	サーバーを迷惑メールの送信に使われている
警察やサーバー会社から「不審なデータが置かれている」と連絡が来た	外部からの通報で発覚している
管理画面に知らないユーザーがいる、ログインできなくなった	管理者の権限を取られている
サイトが急に重くなった、表示が崩れた	仕込まれたプログラムが動いている

なぜ「うちのような小さな会社」が狙われるのか

攻撃の多くは、人が会社を選んで狙っているのではなく、プログラムが自動で世界中を巡回して、古いサイトを探しています。判断の基準は「有名かどうか」ではなく、古いバージョンのまま放置されているかどうかです。会社の大きさもアクセス数も関係ありません。

WordPressは世界のホームページの4割以上で使われています。使う人が多いぶん、攻撃する側にも研究しつくされていて、一度見つかった弱点は、同じバージョンのサイト全部に使い回されます。2026年10月には、WordPressを動かしているPHPそのものにも緊急の脆弱性が見つかりました（「PHPの重大な脆弱性（2026年10月）｜WordPressで今すぐ確認する3つのこと」）。

当サイトが関東のホームページ制作会社547社のサイトを調べたところ、PHPのバージョンが確認できた103社のうち、64%がサポートの切れた古いPHPで動いていました（2026年10月時点）。作るプロですらこの状態なので、作ってもらったまま放置されている一般の会社のサイトは、もっと多くが狙われやすい状態にあると考えられます。

実際にあった3つのケース

私たちが実際に対応した、または相談を受けたケースです。特別な例ではなく、同じような修正の依頼は累計で10社ほどお受けしています。

ケース1：美容室のサイトが、詐欺サイトへの入口にされていた

「ホームページのリンクを押すと、知らない通販サイトに飛ばされる」というご相談でした。飛ばされた先は、クレジットカード番号とメールアドレスを入力させる詐欺サイトでした。バックアップから復旧しましたが、復旧の費用は数十万円かかりました。

ケース2：会社より先に、警察から電話が来た

保守管理の契約をされなかった会社で、数か月メンテナンスをせずにいたところ、気づかないうちにサイトが改ざんされていました。会社側は気づかず、先に警察のサイバー犯罪対策の部署から「御社のサーバーに、偽サイトへ誘導するデータが第三者に置かれている可能性が高い。ログを提供してほしい」と連絡が来ました。

ケース3：1年以上放置されたサイトの管理画面

ご相談を受けて管理画面を開いたところ、WordPressの更新22件・プラグインの更新23件がたまり、PHPもサポートが終わったバージョンのままでした。幸いまだ改ざんはされていませんでしたが、いつ悪用されてもおかしくない状態でした。

報道では、偽の通販サイトの通報件数は2020年の約1万件から2023年には約4万7千件と、3年で4.7倍に増えています（TBS NEWS DIGの報道より）。被害に遭った会社は、自社の住所や電話番号を詐欺サイトに無断で載せられ、身に覚えのないクレームの電話に追われました。

一番のリスクは「被害者」ではなく「加害者」になること

サイトを乗っ取られたとき、困るのは自社だけではありません。

影響を受ける相手	起きること
サイトを見たお客様	詐欺サイトに誘導され、カード情報を抜かれる
自社	「あの会社のサイトから詐欺に遭った」と言われる立場になる
取引先・既存のお客様	自社のドメインから不審なメールが届く
検索エンジン	Googleに危険なサイトと判定され、警告が出て検索順位が落ちる

技術的な事故が、そのまま信用の事故になります。一度失った「あの会社は大丈夫か？」という信用は、サイトを直しても元には戻りません。

気づいたら、最初の1時間でやること

1. サイトを一時的に止める：サーバーの管理画面でサイトを非公開にするか、「メンテナンス中」の表示に切り替えます。お客様を詐欺サイトに送り続けないためです
2. 今の画面を記録する：どのページで何が起きているか、スクリーンショットを残します。警察やサーバー会社に説明するときに必要です
3. パスワードを変える：WordPress、サーバー、FTP、ドメイン管理の順に、すべて別のパスワードにします。同じパスワードを使い回していたら、メールやほかのサービスも変えます
4. サーバー会社に連絡する：不正アクセスの記録（ログ）を保全してもらいます。多くのサーバー会社に、改ざん時の相談窓口があります
5. 専門の会社に相談する：どこから入られたか、何を仕込まれたかは、見ただけでは分かりません
6. 関係者に知らせる：お客様がすでに被害に遭っている可能性があれば、早めの案内が信用を守ります

ファイルを自分で消さない、サイトを自分で作り直さない。侵入口を調べる前に消すと、同じことが繰り返されます。

復旧の流れと費用の目安

復旧は「消す」のではなく「安全な状態に戻して、入口をふさぐ」作業です。一般的な流れは次のとおりです。

1. 侵入経路の調査：古いプラグイン、弱いパスワード、サーバーの設定不備など、どこから入られたかを調べます
2. 改ざんされたファイルの特定と除去：仕込まれたプログラムや偽ページをすべて見つけて取り除きます。1か所だけ直しても意味がありません
3. きれいなバックアップからの復元：改ざん前の状態に戻します。ただし、改ざんに気づくのが遅れると、バックアップも改ざん後のものに置き換わっていることがあります
4. WordPress・プラグイン・PHPの更新と、ログイン対策：侵入口をふさぎます
5. Googleへの再審査リクエスト：警告が出ている場合は、直したことをGoogleに伝えて解除してもらいます

項目	保守管理をしていた場合	放置して改ざんされた場合
費用	月1万円前後	復旧に数十万円（実例）
サイトが止まる期間	ほぼなし	数日〜数週間
その間の問い合わせ	通常どおり	止まる
対応する人	保守会社	自社の担当者（本業が止まる）

1回の事故の復旧費用だけで、保守管理の3〜5年分に相当します。しかも復旧費用には、止まっている間の機会損失も、信用の回復にかかる手間も含まれていません。

サーバー会社の自動バックアップは、保存されるのが7〜14日分程度のことが多いです。改ざんに気づかないまま2週間が過ぎると、きれいな状態のバックアップが残っていないことがあります。この場合は復旧ではなく作り直しになります。

二度と起きないためにやること

乗っ取りの多くは、次の5つで防げます。

• WordPress本体・テーマ・プラグインを更新し続ける：数週間に1回は管理画面を見る。開発が止まったプラグインは別のものに入れ替える
• サーバーのPHPをサポート中のバージョンにする：8.1以前は修正が出ません。8.3以上にしておく
• ログインを守る：推測されやすいユーザー名（admin など）をやめる、長いパスワードにする、ログイン画面に回数制限や二段階認証を入れる
• バックアップを自分でも取る：サーバーの自動バックアップとは別に、週1回程度。「戻せるか」を一度試しておく
• サーバーのセキュリティ機能（WAF）をオンにする：不正なアクセスを自動で止めてくれます

ドメインやサーバーを預けている会社で事故が起きたときの考え方は「お名前.comの不正アクセス（2026年10月）｜ドメインは大丈夫？今すぐ移管すべき？」でまとめています。

更新のやり方や、更新でつまずいたときの対処は「WordPressが更新できないときの原因と対処法」で解説しています。

頼むと、いくらかかる？

当サイトが関東の制作会社547社を調べたところ、セキュリティ対策を明記していたのは35社（約6%）、保守・メンテナンス全般を明記していたのは118社（22%）でした（2026年10月時点）。頼むときは「他社が作ったサイトでも、改ざんの調査と復旧から対応できるか」を最初に確認しましょう。

参考までに、ベストフューチャーでお受けしている料金は次のとおりです（税込）。改ざんの復旧は状態によって作業量が大きく変わるため、まず不具合の原因調査からお受けして、そのうえでお見積もりします。

作業	料金
不具合・改ざんの原因調査	3,300円〜
WordPress本体の更新	7,700円（バックアップ・動作確認込み）
WordPressのプラグイン更新	3,300円（2つ目から1つ＋550円）
サーバー・ドメインの設定のお手伝い	5,500円

1回ずつの料金は「ホームページ修正代行」にまとめています。「起きてから直す」より「起きない状態を保つ」ほうが、はるかに安く済みます。毎月の更新・バックアップ・セキュリティの確認をまとめてお任せいただける保守管理（月1万円・税別）については、「ホームページ保守管理の費用相場【2026年調査】」もご覧ください。

よくある質問

自分でファイルを消して直したのですが、大丈夫ですか？

見えている部分を消しただけでは、侵入口が残っていることが多く、しばらくしてまた書き換えられるケースがよくあります。管理画面のユーザー一覧、プラグインの一覧、サーバー上の見覚えのないファイルを確認し、できれば専門の会社に調査を頼んでください。

警察に届けたほうがいいですか？

お客様が詐欺の被害に遭った可能性がある場合や、サーバーが犯罪に使われた場合は、警察のサイバー犯罪相談窓口（都道府県警察）に相談してください。サーバー会社に記録を保全してもらっておくと、相談がスムーズです。

作った制作会社と連絡が取れません。

ドメインとサーバーのログイン情報が手元にあれば、別の会社でも対応できます。ない場合の進め方は「ホームページ制作会社と連絡が取れない・倒産したときの対処法」をご覧ください。

自動更新をオンにしておけば防げますか？

自動更新だけでは足りません。更新でサイトが壊れても自動更新は教えてくれませんし、サーバーのPHP、テーマ、開発が止まったプラグインは自動更新の対象外です。大切なのは、更新したあとに正しく動いているかを人が確かめることです。

まとめ

• 乗っ取り・改ざんは、会社の大きさに関係なく、放置されたサイトから狙われる
• 気づいたら、自分で消さず、サイトを止めて、記録を残し、専門の会社へ
• 復旧は数十万円、保守は月1万円前後。起きない状態を保つほうがはるかに安い
• 更新・PHP・ログイン対策・バックアップ・WAFの5つで、多くは防げる

ベストフューチャーでは、他社が作ったホームページでも、改ざんの原因調査から復旧、再発を防ぐ毎月の保守管理までお引き受けしています。「変なサイトに飛ばされると言われた」「警察から連絡が来た」という段階でも、落ち着いて一緒に進めますので、まずはご相談ください。無理な営業はしません。