乗っ取り・改ざんに気づいたら、まず「被害を広げないこと」が最優先です。 焦って中途半端に消すより、「隔離 → 調査 → 復旧 → 再発防止」の順で対応します。この記事は、あわてないための手順書です。深刻な場合は無理をせず専門家に相談してください。
こんな症状は、乗っ取り・改ざんのサイン
まず「本当に乗っ取られているのか」を落ち着いて確認します。次のような症状は要注意です。
見知らぬページ・投稿が増える、知らない管理者アカウントがある、トップが別サイトに書き換わっている
サイトを開くと、まったく別の（怪しい）サイトに自動で飛ばされる。スマホだけで起きることもある
Googleの検索結果に「このサイトは危険」と表示される、ブラウザが赤い警告画面を出す
レンタルサーバー会社から「マルウェアを検知」「不正な通信を遮断した」といった警告メールが届く
まずやること（被害を広げない初動）
原因を調べる前に、二次被害（訪問者へのウイルス配布や情報流出）を止めます。
- サイトを一時的に閉じる — メンテナンス表示にする、または一時的に非公開にする。改ざんされたページを訪問者に見せ続けないことが第一
- すべてのパスワードを変更 — WordPress管理画面・サーバー・FTP・データベースのパスワードを一斉に変更する。使い回していた他サービスも変える
- バックアップの有無を確認 — 改ざんされる前の「正常な状態」のバックアップがあるかを確認する。これが復旧の分かれ道になる
- 状況を記録する — いつ気づいたか、どんな症状か、警告メールの内容をメモ・スクリーンショットで残す（原因調査や、必要な場合の報告に使う）
ポイント: この段階で「怪しいファイルを片っ端から消す」のは避けます。原因が分からないまま消すと、復旧も原因究明も難しくなります。まずは止めて、記録することが先です。
復旧の進め方
初動で被害を止めたら、復旧に移ります。基本は「きれいな状態に戻し、穴を塞ぐ」ことです。
| 状況 | 復旧の基本方針 |
|---|---|
| 正常なバックアップがある | 改ざん前のバックアップから復元するのが最も確実 |
| バックアップがない | マルウェアの除去を試みる。範囲が広い・バックドアが残る場合は、作り直しが安全なこともある |
| 深刻・広範囲 | 素人判断で「直った」と思い込むのが一番危険。専門家に依頼を検討 |
復元・除去のあとは、再発を防ぐ仕上げが必須です。
- 本体・テーマ・プラグインをすべて最新化 — 侵入経路になった古い部品を残さない
- 不要なテーマ・プラグインを削除 — 使っていないものは停止ではなく削除する
- 仕込まれたものが残っていないか確認 — 不正な管理者アカウント、身に覚えのないファイル、再侵入用の「バックドア」が残っていないかをチェック
- パスワードを再設定し、2段階認証を有効化 — 同じ手口で戻ってこられないようにする
やってはいけないこと
正常なファイルで上書きしても、侵入経路（古いプラグイン等）を塞がなければ、またすぐ乗っ取られる
再侵入用の仕掛けが残ったまま「復旧完了」としてしまう。表面上は直って見えても再発する
顧客情報などの流出のおそれを確認しないまま公開を再開してしまう
なお、個人情報の漏えい（またはそのおそれ）がある場合は、個人情報保護委員会への報告や本人への通知が必要になることがあります。判断に迷う場合は、公式情報や専門家に確認してください。
再発を防ぐには
復旧できても、原因（多くは古い部品の放置）をそのままにすれば繰り返します。乗っ取りの多くは既知の脆弱性の放置が原因とされるため、日頃の予防が結局いちばん効きます。具体的な予防策は WordPressの脆弱性対策 にまとめています。あわせて、会社全体の観点は 中小企業のセキュリティ対策 も参考にしてください。
まとめ
- 気づいたら、まず止めて・パスワードを変えて・記録する。焦って消さない
- 復旧の基本はきれいなバックアップからの復元。無ければ除去か作り直し
- 侵入経路を塞ぎ、バックドアや不正アカウントの残りを確認するまでが復旧
- 深刻な場合は無理をせず専門家へ。再発防止（予防）が最終的にいちばん安い
JIT株式会社では、改ざん・乗っ取りからの復旧支援、原因調査、その後の保守・再発防止までご相談を受け付けています。「何が起きたか分からない」「自分では手に負えない」という段階でも構いません。まず現状を確認したい方には、サイト診断 もご用意しています。