WordPressが攻撃されると、被害はサイトの中だけでは終わりません。訪問者が偽サイトへ飛ばされ、検索結果に警告が出て、個人情報が漏れれば国への報告も必要になります。多くの場合、気づくのは被害が広がった後です。だからこそ、事前の備えが大切です。
攻撃から発覚までの流れ
攻撃は、たいてい次のような流れで進みます。
- 穴を探される
攻撃者がネット全体を自動で調べ、古いプラグインやPHPなど、穴の開いたサイトを見つけます。 - 侵入される
穴を突いてサーバーに入り込み、管理者ユーザーを勝手に作ったり、不正なプログラムを置いたりします。 - こっそり悪用される
見た目はいつもどおりのまま、裏で偽ページを作ったり、訪問者を別サイトへ飛ばしたりします。持ち主に気づかれないよう、わざと隠す手口もあります。 - 外から知らされて気づく
「検索結果に変なページが出ている」「サイトを開いたら警告が出た」と、お客さまやGoogle、サーバー会社から知らされて、初めて気づくことが多くあります。
起きること① サイトの改ざん
ページの文章や画像が書き換えられたり、見えないところに不正なプログラムが埋め込まれたりします。
- トップページが別の内容に書き換えられる
- ページの中に、見えない不正なリンクや命令が仕込まれる
- お問い合わせフォームが書き換えられ、入力した内容が攻撃者に送られる
特に最後のものは、見た目では気づきにくく、個人情報の漏えいにつながります。
起きること② 知らないページが大量に作られる
よくある手口に、Googleが「日本語キーワードハック」と呼ぶものがあります。
- サイトの中に、ランダムな名前のフォルダと、自動で作った日本語のページが大量に作られる
- そのページには、偽ブランド品を売るサイトへのリンクが貼られ、検索結果の上位を狙う
- Search Consoleに、知らない人が「所有者」として追加される
- 持ち主や検索エンジンには隠し、訪問者にだけ別のページを見せる手口もある
自分のサイトの名前で、身に覚えのない商品のページが検索結果に並ぶことになります。会社の信用にも関わります。
起きること③ 訪問者が被害を受ける
被害は、サイトを見に来たお客さまにも及びます。
- 偽のショッピングサイトや詐欺サイトへ自動で飛ばされる
- ウイルスなど、害のあるソフトを配る場所にされる
- 本物そっくりの偽のログイン画面などに誘導される
お客さまから見れば「あの会社のサイトを開いたら被害にあった」ということになります。
起きること④ 検索結果の警告と、検索からの除外
Googleは、ハッキングされたサイトを見つけると、利用者を守るために次のような対応をとります。
| Googleの対応 | サイトへの影響 |
|---|---|
| 検索結果に警告ラベルを付ける | 検索した人がクリックをためらい、訪問者が大きく減る |
| ブラウザで警告ページを表示する | サイトを開こうとすると、手前で警告が出る |
| ハッキングされた内容を検索結果から外す | 検索からの集客が止まる |
直したあとは、Search Consoleから審査をリクエストします。ただし注意点があります。
- 一部のページだけ直しても、検索結果は変わりません。報告されたすべての問題を、すべてのページで直す必要があります。
- 審査には、ほとんどの場合数日から数週間かかります。その間、集客は落ちたままです。
- 結果が出る前に審査を何度もリクエストすると、かえって時間がかかることがあります。
起きること⑤ 個人情報の漏えいと報告義務
お問い合わせフォームや会員情報など、個人情報を扱っているサイトでは、漏えいが起きると法律上の対応が必要になります。
個人情報保護委員会は、次の4つのどれかに当たる漏えい（そのおそれを含む）について、委員会への報告を義務づけています。
| 報告が必要なケース | 例 | 件数の条件 |
|---|---|---|
| 要配慮個人情報を含む | 病歴や健康診断の結果など | なし |
| お金の被害につながるおそれ | クレジットカード番号、送金や決済ができるサービスのIDとパスワード | なし |
| 不正の目的によるおそれ | 不正アクセスによる漏えい、Webサイトが改ざんされ入力した個人情報が第三者に送られた場合など | なし |
| 1,000人を超える | 設定ミスで個人情報がネット上で見られる状態になった場合など | 1,000人超 |
サイトへの攻撃による漏えいは、3つめの「不正の目的によるおそれ」に当たり得ます。この場合、件数が少なくても報告の対象になります。
- 速報：漏えいに気づいてから、おおむね3〜5日以内
- 確報：気づいてから30日以内。不正の目的によるおそれがある場合は60日以内
起きること⑥ サイトを止めざるを得なくなる
被害が広がっている場合や、原因をすぐにふさげない場合は、サイトを止める判断が必要になります。
IPAも、2026年10月のPHPの脆弱性についての注意喚起で、修正や対策がすぐにできない場合は「外部からのアクセスの遮断」や「サービスの一時停止」を判断するよう案内しています。
サイトを止めている間は、問い合わせも集客も止まります。原因の調査、不正なファイルの削除、作り直しには、専門会社の力を借りることも多く、時間と費用がかかります。
当社の実体験：自社サイト4つが同時に改ざんされたとき
ここまで説明してきたことは、私たち自身も経験しています。2018年ごろ、株式会社イメージ・ジャパンが運営していたWordPressのサイトが、次々とハッキングされました。
当時は、1つのレンタルサーバーの契約の中で、自社サービスのWebサイトを複数まとめて運用していました。そのうち4つのサイトが被害にあいました。
気づいたのは、お客さまからの電話でした
最初のきっかけは、常連のお客さまからの電話です。「御社のホームページを開いたら、海外のサイトに飛ばされてしまう」というものでした。被害にあったのは当社のメインサービスのサイトで、私たちは大慌てで対応にあたりました。
上の「攻撃から発覚までの流れ」のとおり、私たち自身は異変に気づけていませんでした。外から知らされて、初めて分かったのです。
バックアップに戻しても、直りませんでした
自分たちでは直しきれず、外部の復旧サービスに依頼しました。最初は、サーバーに付いている自動バックアップ機能で、数日前の状態にサイトを戻しました。
ところが、そのバックアップも、すでに不正なプログラムに汚染されていました。不正なプログラムは、仕掛けられてから動き出すまでに数週間の潜伏期間があったのです。そのため「いつの時点までさかのぼれば安全なのか」が分からず、復旧会社の方にも力を尽くしていただきながら、汚染されていない時点を探す必要がありました。
同じサーバーの別のサイトにも広がっていました
調べていくと、同じサーバーの契約に置いていた、別のドメインのサイトにも同じプログラムが仕掛けられていました。1つのサイトの問題では済まなかったのです。
結果として、すべて直すまでにおよそ5日かかりました。その間、メインのサイトは正常に見てもらえない状態が続きました。復旧にかかった費用も、決して小さくはありませんでした。
この経験から学んだこと
| 起きたこと | 学んだこと |
|---|---|
| お客さまからの電話で、初めて気づいた | 見た目では分からない。定期的に、外から自分のサイトを確かめる仕組みが必要 |
| 数日前のバックアップも汚染されていた | バックアップは「取っている」だけでは足りない。数週間以上さかのぼれるよう、複数の時点の分を残しておく |
| 同じサーバーの別サイトにも広がった | 1つのサーバーに複数のサイトを置くと、1つの被害が全体に広がることがある。使っていないサイトは消す |
| 復旧に約5日と費用がかかった | 被害が起きてから直すより、起きにくい仕組みにしておくほうが、結局は安く済む |
この経験をきっかけに、私たちのセキュリティへの意識は大きく変わりました。その後、自社で運営するサイトを少しずつWordPressを使わない仕組みへ移し、現在までに5つのサイトを移行しています。WordPress乗り換えセンターでお伝えしていることは、私たち自身がこうして選んできた道でもあります。
被害に気づいたら最初にやること
- あわてて消さず、記録を残す
原因を調べるため、ログやファイルの状態を残しておきます。サーバー会社に、ログの保存を依頼します。 - サーバー会社と制作会社に連絡する
同じサーバーの他のサイトにも被害が広がっていないか、確認してもらいます。 - パスワードを変える
WordPressの管理者、サーバー、データベース、FTPなどのパスワードを、被害のない端末から変更します。 - 被害の範囲を確かめる
知らない管理者ユーザー、知らないページ、Search Consoleの知らない所有者がいないか確認します。 - 必要ならサイトを止める
訪問者に被害が広がっているときは、公開を止めることを検討します。 - 個人情報が関わるなら、専門家に相談する
報告が必要かどうか、早めに判断します。
直したあとも、侵入された原因をふさがないと再発します。Googleの解説では、ハッキングされたサイトの約20%が1日以内に再びハッキングされたという調査も紹介されています。
被害を防ぐ・小さくするための備え
- WordPress本体・テーマ・プラグイン・PHPを最新に保つ
- 使っていないプラグイン、テーマ、古いサイトを削除する
- 管理画面に強いパスワードと2段階認証を設定する
- バックアップを自動で取り、戻し方を確かめておく。数週間以上さかのぼれるよう、複数の時点の分を残す
- 1つのサーバーの契約に、使っていないサイトを置いたままにしない
- Search Consoleに登録し、セキュリティの問題の通知を受け取れるようにする
- 緊急時に、誰に連絡し、誰が対応するかを決めておく
そもそもWordPressの危険度がどれくらいかはWordPressは安全か？2026年の脆弱性データで見る「本当の危険度」で解説しています。更新を続けるのが難しい場合は、脱ワードプレス完全ガイドも参考にしてください。
よくある質問
自分のサイトが攻撃されているか、どうすれば分かりますか？
Googleで「site:自分のドメイン」と検索し、知らないページが出てこないか確かめてください。Search Consoleの「セキュリティの問題」レポートや、所有者に知らない人が追加されていないかも確認します。WordPressの管理画面で、知らない管理者ユーザーがいないかも見てください。
一部のページを直せば、検索結果の警告は消えますか？
消えません。Googleは、一部のページでだけ問題を解決しても検索結果は変わらないとしています。報告されたすべての問題をすべてのページで直してから、審査をリクエストしてください。審査には数日から数週間かかります。
お問い合わせフォームしかない小さなサイトでも、報告義務はありますか？
可能性があります。個人情報保護委員会は、不正アクセスやWebサイトの改ざんなど、不正の目的で行われたおそれがある漏えいは、件数にかかわらず報告の対象としています。対象になるかは状況によるため、弁護士や個人情報保護委員会の窓口に相談してください。
直したのに、また同じ被害にあうことはありますか？
あります。Googleの解説では、ハッキングされたサイトの約20%が1日以内に再びハッキングされたという調査が紹介されています。侵入された原因（古いプラグインやPHP、漏れたパスワードなど）をふさがないと、再発しやすくなります。
バックアップから戻せば、元どおりになりますか？
戻らないことがあります。不正なプログラムは、仕掛けられてからしばらく動かずに潜んでいる場合があり、その間のバックアップにも含まれてしまいます。当社が2018年ごろに被害にあったときも、数日前のバックアップがすでに汚染されていました。いつ侵入されたかを確かめ、それより前の時点に戻す必要があるため、バックアップは数週間以上さかのぼれるよう、複数の時点の分を残しておくと安心です。
被害にあったら、サイトはすぐに止めたほうがいいですか？
訪問者に被害が広がっている場合は、止めることを検討してください。IPAも、修正や対策がすぐにできない場合は、外部からのアクセスの遮断やサービスの一時停止を判断するよう案内しています。止める前に、原因を調べるための記録（ログ）は残しておきます。
被害を防ぐために、今いちばん効果があることは何ですか？
WordPress本体・テーマ・プラグイン・PHPを最新に保つことと、使っていないプラグインやサイトを削除することです。更新を続けられない場合は、守る場所の少ない仕組みへの乗り換えも検討してください。
参照元
- Google Search Console ヘルプ：セキュリティの問題レポート
- web.dev：日本語キーワードハックを解決する
- 個人情報保護委員会：漏えい等の対応とお役立ち資料
- IPA：PHP2Shell（CVE-2026-109618、CVE-2026-109619）に関する注意喚起（2026年10月22日公開、10月27日更新）
- 最終確認日：2026年10月27日
URLを送るだけで、外から確認できる範囲で危険度をお返しします。
運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。
