Webサイトの改ざん・不正アクセスの確認方法と初動対応｜症状・調べ方・個人情報保護委員会への報告と相談窓口
「自社サイトを検索したら、見覚えのない日本語のページが大量に出てくる」「サイトを開くと別のサイトに飛ばされると言われた」。こうした連絡を受けて、何から確認すればよいか迷う担当者は少なくありません。2026年10月にはPHPの重大な脆弱性「PHP2Shell」が公表され、自社のサイトがすでに侵入されていないか気になっている方も多いはずです。
この記事では、Webサイトの改ざん・不正アクセスでよく見られる症状、専門家でなくてもできる確認方法、被害が疑われるときの初動対応の順番、個人情報の漏えいのおそれがある場合の報告、相談できる公的な窓口を整理します。情報は2026年10月23日時点のものです。
- 改ざんは不審なリダイレクト、スパムページの大量生成、見覚えのない管理者やファイル、Search Consoleやブラウザの警告で気づくことが多く、見た目に変化がないこともあります。
- まずは site: 検索、Search Console、ファイルの更新日時、アクセスログ、管理者アカウント一覧を確認します。PHP2Shellについては、JPCERT/CCが挙げた痕跡もあわせて見ます。
- 疑いがあれば、証拠を残してから公開停止の判断、影響範囲の調査、復旧、パスワードの変更、再発防止、Search Consoleの審査リクエストの順に進めます。
- 個人データの漏えいのおそれがあり、一定の条件に当たる場合は、個人情報保護委員会への報告（速報は3〜5日以内が目安）と本人への通知が必要です。
目次
Webサイトの改ざん・不正アクセスとは
Webサイトの改ざんとは、第三者がサーバーやCMS（WordPressなどのサイト管理の仕組み）に不正に入り込み、ページの内容やファイル、設定を書き換えることです。不正アクセスは、その前段階として、権限のない人が管理画面やサーバーに入ることを指します。
侵入の入り口として多いのは、更新していないソフトウェアの脆弱性、推測されやすいパスワードの使い回し、不要になったまま残っている古いサイトや管理機能です。JPCERT/CCは2026年10月8日の注意喚起で、国内組織で不正アクセスによる情報漏えいが相次いでいること、既知の脆弱性や設定の不備が狙われていることを伝えています。
改ざんの目的は、目立ついたずらよりも、気づかれずに利用し続けることが中心です。検索結果を使った詐欺サイトへの誘導、訪問者へのウイルスの配布、サーバーを踏み台にした別の攻撃、保存されている個人情報の盗み出しなどです。そのため、トップページの見た目が普段どおりでも安心はできません。
改ざんの典型的な症状
次のような症状が1つでもあれば、改ざんを疑って確認を始めます。
よくある症状と考えられる状態
| 症状 | 考えられる状態 | 気づくきっかけ |
|---|---|---|
| サイトを開くと別のサイトに転送される | .htaccess やページのスクリプトに転送の命令が埋め込まれている | 利用者や取引先からの連絡。スマートフォンや検索経由の訪問時だけ転送されることもある |
| 検索結果に見覚えのないページが大量に出る | スパムページを自動生成する仕組みが置かれている。日本語のブランド品販売ページなどが典型 | 自社名で検索したときや、Search Consoleのページ数の急増 |
| 見覚えのない管理者アカウントやファイルがある | 侵入者が再び入るための入り口（バックドア）を残している | CMSのユーザー一覧、サーバーのファイル一覧 |
| Search Console に「セキュリティの問題」が表示される | Googleがハッキングされたコンテンツやマルウェアを検出した | Search Console の画面や通知メール |
| ブラウザや検索結果に警告が出る | 危険なサイトとして判定され、警告ページやラベルが表示されている | 訪問者からの連絡、自分で開いたときの赤い警告画面 |
自分でできる確認方法
侵入の有無を確実に判定するには専門の調査が必要ですが、最初の確認は担当者でもできます。結果はスクリーンショットやメモで記録しておきましょう。
- Googleの site: 検索：検索窓に「site:自社のドメイン」と入力し、数ページ分の結果を見ます。見覚えのないURLや、無関係な商品名・日本語の文章が並んでいないかを確認します
- Search Console：「セキュリティの問題」レポートに問題が出ていないかを確認します。あわせて「設定」→「ユーザーと権限」で、知らない所有者が追加されていないかも見ます
- ファイルの更新日時：サーバー上で、最近変更されたファイル、本来ないPHPファイル、異常に大きいファイルがないかを確認します。.htaccess は隠しファイルなので表示設定に注意します
- アクセスログ：管理画面へのログインの試行、海外などからの大量のアクセス、普段アクセスのないファイルへのリクエストがないかを見ます。ログの保存期間も確認します
- 管理者アカウント一覧：CMS、サーバーの管理画面、FTP・SSH、データベースのユーザーに、見覚えのないアカウントや権限の変更がないかを確認します
関連記事PHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618・109619）｜業務システムで確認すること・修正版・8.1以前の対応【2026年10月】
ログの見方がわからない場合は無理に操作せず、サーバー会社や保守会社に確認を依頼します。自己流でファイルを消すと、調査に必要な証拠まで失うことがあります。
被害が疑われるときの初動対応の手順
改ざんや不正アクセスが疑われたら、慌ててファイルを消したり上書きしたりせず、次の順番で進めます。社内の誰が判断し、誰に連絡するかも最初に決めておきます。
- 証拠を保全するアクセスログ、エラーログ、改ざんされたファイル、データベースのコピーを取り、画面のスクリーンショットも残します。JPCERT/CCも、侵害が疑われる場合は証拠を保全したうえで調査するよう求めています
- 公開を止めるか判断する訪問者にウイルスを配る、詐欺サイトへ転送する、個人情報が抜き取られ続けるといった状態なら、メンテナンス画面への切り替えやアクセス制限を検討します。業務への影響と被害の広がりを比べて決めます
- 影響範囲を調べるいつ、どこから侵入され、どのファイル・アカウント・データに触れられたかを調べます。同じサーバーにある別のサイトや社内システムも対象に含めます
- 復旧する不審なファイルを除くだけでなく、侵入された原因（古いソフトウェア、弱いパスワードなど）を直します。改ざん前の確かなバックアップから戻すか、CMSや部品を入れ直します
- パスワード等を変更するCMS、サーバー、FTP・SSH、データベース、Search Console などの管理者のパスワードを変え、APIキーや認証情報も作り直します。可能なら2段階認証を設定します
- 再発防止策をとるソフトウェアの更新、不要な機能や古いサイトの削除、管理画面へのアクセス制限、ログの保存と監視の仕組みを整えます
- Search Console で審査をリクエストするGoogleの警告が出ている場合は、すべての問題を直してから「セキュリティの問題」レポートで審査をリクエストします。修正した内容と手順を具体的に書きます
Googleによると、審査は多くの場合数日から数週間かかります。審査中に同じリクエストを何度も送り直さないよう案内されています。また、一部のページだけ直しても、検索結果の警告が部分的に外れることはないとされています。
関連記事企業サイトのWordPressセキュリティ対策｜被害の原因と対策の優先順位、PHP更新・バックアップ・月次の保守チェック表
個人情報の漏えいのおそれがある場合の報告
問い合わせフォームの送信内容、会員情報、注文情報などがサーバーに保存されていた場合は、個人データが漏えいした「おそれ」があるかを確認します。個人情報保護法では、次のいずれかに当たる漏えい等（そのおそれを含む）が起きた場合、事業者は個人情報保護委員会への報告と、本人への通知が必要です。
報告が必要になる4つのケース（民間事業者の場合）
| ケース | 例 |
|---|---|
| 要配慮個人情報が含まれる | 健康診断の結果、病歴などを含む個人データ |
| 不正に使われると財産的な被害が生じるおそれがある | クレジットカード番号、ネットバンキングのIDとパスワード |
| 不正の目的で行われたおそれがある | 不正アクセスやWebサイトの改ざんによる漏えい。入力フォームを改ざんされ、これから取得する予定の個人情報が盗まれた場合も含まれます |
| 本人の数が1,000人を超える | 1,000人を超える会員情報の漏えい |
- 速報：発覚後速やかに。目安は発覚から3〜5日以内です
- 確報：発覚から30日以内。不正の目的で行われたおそれがある場合は60日以内です
- 報告方法：原則として、個人情報保護委員会のWebサイトにある漏えい等報告フォームから行います
- 本人への通知：状況に応じて速やかに、概要や漏えいした項目、原因などを通知します。連絡先がわからないなど通知が難しい場合は、ホームページでの公表と問い合わせ窓口の設置などで代えることができます
「漏えいしたかどうかまだわからない」段階でも、「おそれ」があれば報告の対象になりえます。判断に迷う場合は、個人情報保護委員会の資料を確認し、早めに相談しましょう。サイトの運用を外部に委託している場合も、報告の義務を負うのは原則として個人データを取り扱う自社です。委託先とは、事実関係の共有の方法をあらかじめ決めておきます。
相談できる公的な窓口
社内に詳しい人がいない場合でも、公的な窓口に相談できます。相談の前に、いつ・何が起きたか、どの機器やサービスか、そう判断した根拠を時系列でまとめておくと話が早く進みます。
IPAの窓口は助言が中心で、調査や復旧の作業は、サーバー会社、保守会社、専門会社に依頼します。日ごろから「何かあったときに誰に頼むか」を決めておきましょう。
改ざんを防ぐために日ごろからできること
改ざんの多くは、更新されていないソフトウェアや弱いパスワードなど、基本的な対策の抜けから起きています。次の点を定期的に確認しましょう。
- ソフトウェアを最新に保つ：PHPなどのサーバー側のソフトウェア、CMS本体、プラグイン、テーマを更新します。サポートが終わったバージョンは使い続けないようにします
- 管理者のアカウントを絞る：退職者や不要なアカウントを削除し、パスワードの使い回しをやめ、2段階認証を設定します
- 使っていないサイトや機能を止める：古いキャンペーンサイト、検証用の環境、不要な管理機能の公開は、侵入の入り口になりやすい部分です
- ログとバックアップを残す：アクセスログを一定期間保存し、バックアップは複数の世代を別の場所に置きます
- Search Console を登録しておく：警告の通知をメールで受け取れるようにし、担当者が交代しても届くようにします
関連記事サポート終了（EOL）ソフトウェアを使い続けるリスクと対策｜PHP2Shellの事例・棚卸し・延命策・移行計画
関連記事Webサイトのセキュリティチェックリスト20項目｜担当者が自分で確認できる方法と頻度（IPAの20ヶ条と整合）
10の質問と、サイトのURLから公開されている情報（HTTPS、セキュリティ設定、PHPのバージョン表示など）を確認できる簡易セキュリティ診断を用意しています。登録は不要です。改ざんの有無そのものは判定できませんが、侵入の原因になりやすい設定の見直しに役立ちます。
よくある質問
- トップページの見た目が普段どおりなら、改ざんされていないと考えてよいですか？
- そうとは限りません。検索エンジンやスマートフォンからの訪問時だけ転送する、目に見えない別のページを大量に作るといった改ざんは、普段の画面では気づけません。site: 検索やSearch Consoleでも確認してください。
- 改ざんされたファイルを見つけたら、すぐに削除してよいですか？
- 削除の前に、ファイルとログのコピーを取って証拠を残してください。侵入経路や影響範囲の調査に必要になります。また、見つけたファイル以外にもバックドアが残っていることが多いため、1つ消して終わりにしないことが大切です。
- 個人情報が漏れたかどうかわからない段階でも、報告が必要ですか？
- 個人情報保護法では、漏えいの「おそれ」がある段階も報告の対象になりえます。速報は発覚から3〜5日以内が目安で、その時点でわかっている範囲で報告し、確報で内容を補います。判断に迷う場合は個人情報保護委員会の資料を確認してください。
- レンタルサーバーを使っている場合、誰が対応しますか？
- サーバー本体の管理はサーバー会社ですが、CMSやサイトのファイル、アカウントの管理は原則として利用者側の責任です。サーバー会社にログの提供や調査への協力を依頼しつつ、自社や保守会社で復旧と再発防止を進めます。
- Search Console の警告は、直せば自動で消えますか？
- すべての問題を直したうえで、「セキュリティの問題」レポートから審査をリクエストする必要があります。Googleによると、審査には多くの場合数日から数週間かかります。
まとめ
Webサイトの改ざんは、見た目に変化がないまま進むことが多く、site: 検索、Search Console、ファイルの更新日時、アクセスログ、管理者アカウントの確認で気づけることがあります。疑いがあれば、証拠を保全してから公開停止の判断、影響範囲の調査、復旧、パスワードの変更、再発防止、審査リクエストの順に進めます。個人データの漏えいのおそれがある場合は、個人情報保護委員会への報告と本人への通知の要否を早めに確認し、困ったときはIPAや警察の窓口に相談しましょう。
参考：JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日）、JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日、10月9日更新）、個人情報保護委員会「漏えい等の対応とお役立ち資料」「漏えい等報告・本人への通知の義務化について」、IPA「不正アクセス対策特設サイト」「情報セキュリティ安心相談窓口」、警察庁「サイバー事案に関する相談窓口」、Google「セキュリティの問題レポート」（Search Console ヘルプ）、web.dev「Fix the Japanese keyword hack」「Fix the gibberish hack」。
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
