WordPressが改ざん・不正アクセスされたときの
初動対応
不審なページ、勝手な転送、見覚えのない管理者、 マルウェア警告などを確認した場合は、 すぐにファイルを削除したり、古いバックアップを上書きしたりせず、 被害拡大を止めながら現状とログを保存します。 その後、安全な端末から認証情報を変更し、 侵入経路と影響範囲を調査したうえで、 正常と確認できるデータから復旧します。 小規模事業者が最初に行う対応を順番に解説します。
検討する
訪問者への感染、情報窃取、不正転送が疑われる場合は公開を続けません。
変更前に保存
削除や復元の前に、発生時刻、画面、サーバーログ、現在データを保全します。
正常データへ戻す
原因を残したままバックアップを戻すと、再び改ざんされる可能性があります。
改ざんが疑われるときは 削除より先に隔離と記録を行います
原因不明のままサイトを触り続けると、証拠を失い被害を広げる可能性があります。
安全な環境で守る
不正な転送、マルウェア、フィッシングページ、 管理者アカウントの乗っ取りなどが疑われる場合は、 訪問者と顧客を守るためにサイトの公開停止・隔離を検討します。
ただし、感染ファイルをすぐ削除したり、 バックアップで全体を上書きしたりすると、 侵入経路、発生時刻、影響範囲を調査する手がかりが失われます。 変更前にファイル、データベース、アクセスログ、 管理画面の状態を保存しましょう。
その後、 感染していないと確認できる端末から、 サーバー・ドメイン・WordPress・メールなどの認証情報を変更します。 自社だけで安全性を判断できない場合は、 通常の制作・修正ではなく、インシデント対応ができる専門事業者へ依頼してください。
WordPressの改ざん・不正アクセスを 疑う主な10の兆候
見た目が正常でも、検索エンジンや特定の端末だけに不正内容を表示する場合があります。
検索結果から来た人、スマートフォン、 特定の地域だけを不審なサイトへ転送する場合があります。
医薬品、通販、投資、成人向けなど、 自社が作成していない大量のURLが登録される場合があります。
Google Safe Browsingなどにより、 マルウェア・フィッシング・有害なダウンロードの警告が表示されます。
WordPress、サーバー、ドメイン、 Googleサービスへ不明なユーザーや所有者が追加されています。
PHP、JavaScript、.htaccess、wp-config.php、 mu-plugins、uploadsなどへ不審なファイルやコードが追加されています。
サーバーから迷惑メールが送られ、 メール送信制限やドメイン評価低下が起きる場合があります。
管理者のメール・パスワード・権限が変更され、 正規の担当者が管理画面へ入れなくなります。
不正な処理、外部通信、暗号資産採掘、 大量URL生成などでサーバー負荷が上がる場合があります。
Search Console、サーバー会社、 セキュリティサービス、顧客などから改ざん・不正アクセスを指摘されます。
ネームサーバー、DNS、登録メール、 二要素認証などが変更され、別サーバーへ誘導される場合があります。
改ざんを確認したときの 初動対応8ステップ
作業担当と記録担当を決め、一つずつ実施内容と時刻を残します。
発見者だけで対応せず、経営者・責任者、 サーバー担当、制作会社、必要な専門家へ共有します。
URL、警告、スクリーンショット、 発見時刻、直前の変更、顧客からの連絡を記録します。
訪問者へ危害が及ぶ可能性がある場合は、 サイトを停止・隔離し、安全な別環境で案内ページを表示します。
ファイル、データベース、アクセス・エラーログ、 管理者一覧、メールログ、DNS設定を保存します。
サーバー、ドメイン、WordPress、メール、 FTP・SSH、データベースなどを変更し、不要な権限を無効化します。
脆弱なプラグイン、古いWordPress、 漏えいした認証情報、ファイル権限、他サイトへの波及を確認します。
不正ファイルを除去し、 公式配布物や正常なバックアップから再構築して、 侵入原因となった弱点を修正します。
表示、フォーム、メール、管理者、 Search Consoleを確認し、必要に応じて審査・報告・顧客案内を行います。
パスワードだけでなく 管理権限・セッション・鍵を整理します
感染した可能性のある端末では変更せず、別の安全な端末を使います。
バックアップを戻す前に 侵入経路と正常な時点を確認します
感染済みバックアップや脆弱性を残した環境へ戻すと、短期間で再侵入される場合があります。
現在のファイル・データベース・ログを、 復旧用バックアップとは分けて保存します。
タイムスタンプやログを保持し、不要な編集を避けます。WordPress本体は公式配布物、 テーマ・プラグインは正規の提供元と比較します。
正常だった日付が確認できないバックアップを無条件に信頼しません。古いプラグイン、漏えいした認証情報、 不適切な権限、他サイトからの侵入などを修正します。
不正ファイルだけ消しても、入口が残れば復旧とはいえません。影響した情報とサービスに応じて 外部連絡・審査・利用者案内を行います
復旧作業だけでなく、顧客・関係機関・検索エンジンへの対応が必要な場合があります。
サンプルURLだけでなく、ファイル、DB、管理者、 検索に出た不正URLを含めて確認します。
PC・スマートフォン、問い合わせ、 自動返信、独自メール、予約・決済などを確認します。
ファイル変更、管理者ログイン、 稼働状況、サーバーログを継続確認します。
セキュリティの問題をすべて修正した後、 原因・修正・確認結果を具体的に記載して審査を申請します。
発生原因、影響範囲、対応内容、 更新・監視・バックアップ体制の変更を残します。
改ざん・不正アクセス時に 確認したい36項目
実施した項目には担当者と時刻を記録し、後から対応経緯を確認できるようにします。
WordPress更新・バックアップ・ 基本的な安全管理を継続します
杜の都Webサービスでは、ホームページ制作に加え、 WordPressの基本更新、定期バックアップ、 管理アカウントの整理、公開後の表示確認まで年間プランで対応します。
公開後に確認する主な内容
- WordPress本体の基本更新
- テーマ・プラグインの基本更新
- 定期バックアップ
- 不要な管理者・アカウントの確認
- 主要ページ・フォームの表示確認
- ドメイン・サーバーの基本管理
- Search Consoleの基本確認
- 不具合発生時の一次切り分け
※改ざん・不正アクセス発生後の侵害調査、 マルウェア除去、証拠保全、法令対応、 24時間緊急対応などは通常保守とは異なる専門作業です。 状況に応じて専門事業者をご案内する場合があります。
料金・保守内容を確認する →侵入経路と影響範囲まで確認しましょう
公開停止、ログ保全、認証情報変更、 原因調査、正常データからの復旧、 Search Consoleと外部報告まで順番に対応します。
本記事は、2026年7月時点のWordPress、 Google Search Console、IPA、JPCERT/CC、 個人情報保護委員会の公式情報を参考に作成しています。 実際の初動対応は、改ざん方法、扱う情報、 サーバー構成、契約関係、法的義務によって異なります。 本記事は個別の技術調査・法的助言の代わりとなるものではありません。
