WordPressサイトが改ざんされたら：やるべきことと順番

目次8セクション

見覚えのないページが表示される、Googleが訪問者に「危険なサイト」と警告する、サーバー会社にサイトを止められた。そんなとき、まずすべて削除して入れ直したくなります。けれどもそうすると、攻撃者がどこから入ったかを示す痕跡が消え、入り口は開いたままになります。

ここでは、発見から最初の1時間、Googleの警告が消えるまでの手順を順番に説明します。WordPressの公式ドキュメント、Googleのハッキング対策ガイド、フランス政府のサイバー被害支援サイト（Cybermalveillance.gouv.fr）の手引きをもとに、日本での届け出先（個人情報保護委員会、警察、JPCERT/CC）を加えました。出典は記事の最後にまとめています。

01WordPressサイトが改ざんされたときのサイン

Sucuriは2024年のレポートで7,080万件のサイトを調べ、1,176,701件の感染を見つけました。そのうち74.7%にマルウェアや不正な転送が、38.4%に検索エンジン向けのスパムが仕込まれていました。誰が見てもわかる「ページの書き換え」は、感染サイトの0.8%にすぎません。

• マルウェア・不正な転送74.7%
• 検索エンジン向けスパム38.4%
• クレジットカード情報の盗み取り1.7%
• 不要な広告1.5%
• ページの書き換え0.8%

出典：Sucuri、SiteCheck Malware Trends Report 2024（7,080万件を調査、感染サイト1,176,701件）

グラフの見方　1つのサイトに複数の感染があることもあるため、合計は100%を超えます。

目に見えるサイン

WordPressのドキュメントは、次のようなサインを挙げています。

• GoogleやBingが、検索結果の表示やブラウザの全画面警告でサイトを「危険」と表示する。
• サーバー会社がサイトを停止した。
• 訪問者のウイルス対策ソフトがサイトをブロックする。
• あなたのサイトがほかのサイトへの攻撃に使われている、と連絡が来た。
• 作った覚えのないユーザーがWordPressに増えている。
• サイトを開くと、ページや文章、画像が書き換えられている。

目に見えないサイン

隠れたスパムは見つけにくいものです。Googleは、よくある例として「日本語キーワードによるハッキング」を紹介しています。世界中のサイトが被害にあっている手口です。攻撃者は、ランダムな名前のフォルダに日本語のページを自動で大量に作り、偽ブランド品の通販サイトへのリンクを貼ります。そのページはGoogleの検索結果に出ますが、持ち主には見えないこともあります。攻撃者はスパムをGoogleのクローラーにだけ見せ、持ち主には普通のページや404エラーを見せることができるからです（クローキング）。日本語のサイトでは、増えたページも日本語なので、見落としやすい点に注意してください。

確認するには、Googleで「site:あなたのサイト.jp」と検索し、結果を何ページか見てください。知らないURLや、内容に関係のないタイトルがあれば要注意です。Search Consoleの「セキュリティの問題」レポートにはGoogleが見つけた問題が表示され、「URL検査」ツールではGoogleから見たページを確認できます。Search Consoleで新しい「所有者」が追加されたというメールが届いたら、それも危険なサインです。攻撃者が自分を所有者に加えて、設定を変えることがあります。

もう一つの目立たないサインは、お客様に送ったメールが迷惑メールに振り分けられることです。改ざんされたサイトは、スパムメールの送信に使われることがあります。するとサーバーのIPアドレスがブラックリストに載り、同じサーバーから送るあなたのメールまでブロックされます。

02最初にやること（順番どおりに）

見たことをメモし、サイトをそのままコピーする

何かに手をつける前に、見たこと、時刻、最近の変更（入れたプラグイン、変えたテーマ、設定など）をメモします。WordPressのドキュメントも、これを最初の手順にしています。自分で直す場合も、専門家に頼む場合も、このメモが報告書の土台になります。

次に、改ざんされた状態のまま、ファイルとデータベースをまるごとコピーします。感染したサイトをバックアップするのは妙に思えますが、WordPressもGoogleも勧めている手順です。このコピーに攻撃の痕跡が残り、復旧作業で何かを壊してしまったときにも戻れます。

サーバー会社に連絡し、サイトをメンテナンス中にする

サーバー会社に連絡しましょう。共用サーバーでは、同じサーバーのほかのサイトにも被害が広がることがあります。本当に改ざんなのか、ただの障害なのかも確かめてもらえます。あわせてサーバーのログ（アクセス記録）を依頼してください。攻撃者の侵入経路を調べるのに使います。できればサイトを公開停止にするか、サーバー会社に必要な措置を取ってもらいます。メンテナンスページやサイト全体へのパスワード設定で、復旧作業中に訪問者が危険なページを開くのを防げます。

すべてのパスワードを変え、全員をログアウトさせる

パスワードを変える前に、自分のパソコンをウイルス対策ソフトでフルスキャンします。WordPressによると、攻撃はサイトの持ち主のパソコンから始まることがよくあります。トロイの木馬がFTPやWordPress管理画面のログイン情報を盗むのです。ウイルスが残っていれば、新しいパスワードも盗まれます。インストール済みのソフトから隠れるウイルスもあるので、できれば別のソフトでも調べてください。

そのうえで、サイトに入れるすべてのパスワードを変えます。WordPress、サーバー会社の管理画面、FTPやSFTP、データベース（MySQL）です。管理者から順に、すべてのユーザーが対象です。パスワード管理ソフトで作った長く使い回しのないパスワードにし、使えるところでは二段階認証をオンにします。

ログイン中のセッションも閉じる必要があります。wp-config.phpファイルの「秘密鍵」を、WordPress公式の生成ツールで作った新しいものに置き換えてください。あなたも含め、全員がログアウトされます。

攻撃者に管理者のパスワードを変えられてしまった場合は、データベースから操作します。多くのサーバー会社が用意しているphpMyAdminで、ユーザーのテーブル（初期設定ではwp_users）にある自分のメールアドレスを書き換え、ログイン画面の「パスワードをお忘れですか？」から再設定します。

個人情報が漏れたおそれがあるとき：個人情報保護委員会への報告

個人情報のことは、復旧が終わるのを待たずに考えます。WordPressサイトには、顧客アカウント、WooCommerceの注文、メールマガジンの登録者、保存されたお問い合わせフォームの内容など、個人情報が残っていることがよくあります。不正アクセスによる漏えい（そのおそれを含む）は、2022年4月から、人数に関係なく個人情報保護委員会への報告と本人への通知が必要になりました。報告は2段階です。速報は発覚からおおむね3〜5日以内、確報は、不正の目的によるおそれがある場合は60日以内に出します。

本人への通知は、状況に応じて速やかに行います。通知が難しいときは、ウェブサイトでの公表や問い合わせ窓口の設置といった代わりの措置も認められています。最初の1時間のメモが、報告の土台になります。

03バックアップから戻すか、手作業で直すか

きれいなバックアップがある場合

改ざん前のバックアップがあれば、それを戻すのがいちばんの近道です。サイトは元の状態に戻ります。ただし、いつ改ざんが始まったかを知る必要があります。目立たない改ざんは長いあいだ気づかれないこともあり、昨日のバックアップがすでに感染しているかもしれません。バックアップの履歴が長いほど、きれいなものが見つかる可能性は高くなります。

バックアップを戻しても、入り口はふさがりません。脆弱なプラグインはバックアップと一緒に戻ってきますし、盗まれたパスワードもそのまま使えます。戻したらすぐに、WordPress、テーマ、プラグインを更新し、パスワードを変え、侵入経路を探してください（4章）。そうしないと、攻撃者は同じ道からまた入ってきます。

バックアップがない場合：すべてを手作業で掃除する

まずスキャンします。WordfenceやSucuri Securityのようなプラグインはサイトの内側から不正なコードを探し、Sucuri SiteCheckやVirusTotalのようなオンラインのスキャナーは、訪問者と同じく外側からサイトを調べます。両方を使うと見落としが減ります。

次に、WordPress本体（wp-adminとwp-includesのフォルダ）を入れ替えます。いったん削除し、サイトと同じバージョンの新しいファイルをアップロードします。WordPressは、管理画面の「再インストール」ボタンではなく、FTPやSFTPで作業するよう勧めています。このボタンは既存のファイルを上書きするだけで、攻撃者が追加したファイルは残ってしまうからです。テーマとプラグインも、公式の配布元からダウンロードし直して同じように入れ替えます。

サイトのいちばん上の階層にある.htaccessファイルは、攻撃の種類を問わず書き換えられやすいファイルです。ほかのフォルダにある場合もあります。きれいなものに置き換えてください。index.phpと、テーマのheader.php、footer.php、functions.phpも確認します。書き換えられると、すべてのページに影響するファイルです。そのほかのファイルでは、あるはずのないもの、最近変更されたもの、読めないコード（base64_decode、eval）だらけのものを探します。

WordPressでは、作った覚えのないユーザーを削除します。Search Consoleでは、知らない所有者とその確認用ファイルを取り除きます。最後に、サイトマップに自分のページだけが載っているかを確認します。

掃除は一度で、すべて終わらせる必要があります。バックドア（攻撃者が再び入るための小さなファイル）を一つ見落とすだけで、また入られてしまいます。

04侵入経路を見つける

どこから侵入されたかを突き止め、同じ方法で二度と入られないようにします。ここでサーバーのログと、最初の1時間のメモが役に立ちます。

まず疑うのはプラグイン

WordPressは世界のウェブサイトの39.6%で使われています（W3Techs、2026年10月）。人気のプラグインに脆弱性があれば、それを使うすべてのサイトが影響を受けます。Patchstackによると、2025年に見つかったWordPressの脆弱性は11,334件で、2024年より42%増えました。その91%はWordPress本体ではなくプラグインにあり、46%は公表の時点で修正版がありませんでした。

そこで、プラグインの一覧を見直します。更新していなかったもの、作者がもうメンテナンスしていないもの、使っていないものを探してください。時間との勝負です。Rapid7によると、よく悪用される脆弱性では、最初の攻撃は公表から5時間（中央値）でやってきます。「月末にまとめて更新」では、攻撃者に何週間も与えることになります。

そのほかの経路

次に、弱いパスワードや使い回しのパスワード、「nulled」と呼ばれるプラグインやテーマがないかを確認します。nulledとは、有料版を不正にコピーして配布元以外で無料配布しているもので、誰も中身をチェックしていません。ログイン情報を漏らした感染パソコンも疑いましょう。共用サーバーなら、同じサーバーのほかのサイトも被害にあっていないか、サーバー会社に聞いてください。

サーバーそのもの：PHP

WordPressはサーバーにインストールされたPHPという言語で動いていて、PHPに脆弱性があれば、その上で動くすべてのサイトが影響を受けます。レンタルサーバーでは、PHPの修正を適用するのはサーバー会社です。最新の修正が済んでいるかを確認し、管理画面で選ばれているPHPのバージョンも見てください。PHPの開発元がサポートを終えたバージョンには、修正が提供されません。

2026年10月には、PHP2Shellと呼ばれる2件の重大な脆弱性が見つかり、21日に修正されました。経緯と確認方法はPHP2Shell：PHPの重大な脆弱性、WordPressサイトで確認すべきことにまとめています。

05復旧のあと：Googleと警察

パスワードをもう一度変える

サイトがきれいになったら、すべてのパスワードをもう一度変えます。発見したときにしか変えていない場合は、WordPressもはっきりそう求めています。データベースのユーザー名とパスワードも変え、wp-config.phpに反映させるとより安全です。そのあと、WordPress、テーマ、プラグインを更新します。

Googleに警告の解除を依頼する

Googleにサイトを警告されている場合は、Search Consoleの「セキュリティの問題」レポートから審査をリクエストします。サイトの所有権が確認済みである必要があります。問題の内容、直したこと、その結果を書いてください。すべてのページがきれいになり、侵入経路もふさいでから送りましょう。Googleによると、早すぎるリクエストは、サイトが危険と表示される期間をかえって長くします。最初のリクエストの返事が来るまで、次のリクエストは送らないでください。

指摘された問題	Googleが示す目安
フィッシング	約1日
マルウェア	数日
攻撃者が追加したスパム	数週間かかることも

出典：Google「審査を申請する」 · Google「セキュリティの問題レポート」（2026年10月21日確認）

ブラックリストを持っているのはGoogleだけではありません。WordPressは、BingとNortonのウェブマスター向けツールにもサイトを登録し、訪問者のウイルス対策ソフトがもうブロックしていないかを確かめるよう勧めています。

警察とJPCERT/CCに相談する

改ざんの被害は警察に相談できます。警察庁のサイトに都道府県警察のサイバー犯罪相談窓口の一覧があり、2024年3月からは全国共通のオンライン窓口でも通報や相談を受け付けています。メモ、改ざんされたサイトのコピー、サーバーのログなど、手元の証拠をそろえておきましょう。JPCERT/CCも、改ざんされたサイトへの対応依頼をウェブフォームで受け付けています。

06自分で直すか、専門家に頼むか

WordPress自身も、攻撃者が残したものをすべて見つけて取り除くのがいちばん難しく、進め方は技術的な慣れによって変わると書いています。どこから入られたかを突き止めるのは、知識やデータが足りず、サイトの持ち主には難しいことが多いでしょう。きれいなバックアップがあり、作業に少し慣れていれば、この記事の手順で自分で直せます。予算が限られる場合は、WordPress.orgのフォーラム（「hacked」「malware」タグ）も頼りになります。企業や団体なら、IPAの相談窓口がメールで初動対応の助言や専門事業者の紹介をしています。

作業を依頼するなら、契約の前に次のことを確認しましょう。

1. 不正なコードだけでなく、侵入経路も探してくれますか？
2. ファイルとデータベースの両方を調べますか？
3. 掃除のあと、WordPress、テーマ、プラグインを更新してくれますか？
4. Googleへの審査リクエストもしてくれますか？
5. 作業のあとでまた改ざんされたら、どうなりますか？
6. 作業内容の報告書はもらえますか？

費用の目安として、ウェブセキュリティ専門のSucuriでは、掃除つきの保護プランが年229〜549ドルです。当スタジオの保守プランは月額11,000円〜（税別）で、アップデート、ファイアウォール、マルウェアスキャン、24時間監視、毎日の外部バックアップ、毎月のレポートまで含みます。ハッキング被害時の復旧作業も、この料金に含まれます。まだ保守をご契約でないサイトも、まずはご相談ください。

07再発を防ぐ

サーバー会社が守っているのはサーバーで、あなたのWordPressではありません。Patchstackの大規模なテストでは、サーバー会社の一般的な防御が止めた攻撃は、既知のWordPressの脆弱性を狙ったもののうち12%だけでした。予防は、いくつかの習慣で決まります。

• 修正版が出たら、バックアップを取ってから、WordPress、テーマ、プラグインをすぐに更新する。
• サポート中のPHPのバージョンを使い、最新の修正が当たっているかをサーバー会社に確認する。
• 使っていないプラグインと、作者がメンテナンスをやめたプラグインを削除する。
• サーバーの外にバックアップを数週間分残し、戻す日にきれいなものが必ずあるようにする。
• 長く使い回しのないパスワード、1人1アカウント、管理者には二段階認証。
• 仮想パッチつきのファイアウォールで、プラグインが修正される前に既知の脆弱性を防ぐ。修正版なしで公表される46%の脆弱性にも効きます。
• ファイルが変わったときや、Googleがサイトを警告したときに知らせてくれる監視。

これが、WordPressの保守の仕事です。

まとめ：痕跡を残してから、入り口をふさぐ

WordPressサイトが改ざんされたら、手順の順番が大切です。掃除の前にメモとコピーを取り、パスワードを変え、個人情報が見られたおそれがあれば個人情報保護委員会に報告します。バックアップを戻すか掃除をして、侵入経路を見つけ、パスワードをもう一度変えます。そのあとがGoogleの審査と、警察への相談です。

サイトが改ざんされた、または心配だという方は、状況をお聞かせください。