ホームページが改ざん・乗っ取りされたら？初動対応と日頃の備え

ホームページが、知らないうちに書き換えられていた。管理画面に入れなくなった。そんなとき、何をすればよいのでしょうか。この記事では、警察庁の「ウェブサイト改ざん対策」の案内にもとづき、被害に遭ったときの初動と、ふだんからの備えを、非専門家の方にも分かるように整理します。

こんな様子があれば、改ざんを疑います

• 自分が作った覚えのないページや、文章、リンクが表示される
• 管理画面に、いつものパスワードで入れない
• お客様から、「サイトを開いたら、おかしな画面が出た」と連絡があった
• サイトの表示が、急に遅くなった、あるいは開けなくなった

これらは、改ざんの例です。ほかの原因（サーバーの不具合や、設定ミスなど）でも起きることがあるため、まず落ち着いて、状況を確認します。

初動対応：まずやること

警察庁は、被害に遭ったときの対応として、次の流れを案内しています。

• 1. サービスを止める：直ちに、サービスを停止します。被害が広がることを防ぎます。
• 2. 証拠を残す：管理画面や、データベースへのアクセスログを、保存・印刷します。あとで原因を調べるために必要です。
• 3. 調べる：改ざんが確認されていない機器も含めて、サーバー、ネットワーク機器、パソコンを調べます。ログは、バックアップと同じように、きちんと保管します。
• 4. 直す：調査の結果をもとに、ソフトウェアを更新して、弱点をふさぎます。攻撃者にアクセスされた可能性のあるパスワードは、速やかに変更します。
• 5. 通報・相談する：アクセスログなどの資料を持って、最寄りの警察署、または「サイバー犯罪相談窓口」に、通報・相談します。事前に電話で、日時や持っていく資料を調整すると、スムーズです。

ご自身で対応するのが難しいときは、サーバー会社や、ホームページを制作した会社にも、すぐに連絡してください。

日頃の備え

警察庁は、日頃の対策として、次のことを挙げています。

• ソフトウェアを最新にする：OS やソフトウェアを、最新の状態に保ちます。
• パスワードを管理する：管理者の ID とパスワードを、適切に管理します。
• 不要なものを消す：不要なサービスやアカウントを、削除または停止します。
• 公開してはいけないファイルを置かない：公開を想定していないファイルを、ウェブ公開用の場所に置かないようにします。
• セキュリティ製品を使う：ウイルス対策ソフトや、WAF（ウェブアプリケーションファイアウォール）などを導入します。
• バックアップを取る：定期的にバックアップを取り、正常な内容と比べて、不正なファイルがないかを確認します。

とくに、ソフトウェアの更新は、いちばん大切です。2026年10月には、PHP の重大な脆弱性が公表されました。詳しくは、PHP2shell とは？何が問題で、何をすればいい？をご覧ください。

自分のサイトの備えを確認する

上の備えが、いまのご自身のサイトで、できているかを確認したい方は、ホームページのセキュリティ セルフチェック（無料・3分）をお使いください。12の質問に答えるだけで、確認したい点が分かります。入力した内容は、端末の中だけで処理され、送信されません。

Kairos にできること

Kairos では、ホームページの制作だけでなく、公開後の更新、不具合対応、サーバー管理までを担当する保守プランを用意しています（ライト 月5,000円〜、スタンダード 月15,000円〜、システム保守 月30,000円〜／税込、最低契約6か月）。被害に遭う前の備えとして、更新や点検を継続的にお任せいただくことができます。ヒアリングは無料です。蟹江町や近隣の方は、対面でもご相談いただけます（蟹江町のホームページ制作）。

この記事は、2026年10月31日時点の警察庁の案内などにもとづきます。被害が起きた場合の最新の手順や窓口は、末尾の出典でご確認ください。