WordPressの乗っ取りは、見た目では気づけないことが多いです。まず、管理画面の「知らない管理者ユーザー」と、Search Consoleの「知らない所有者」、Google検索の「知らないページ」の3つを確かめてください。どれか1つでも見つかったら、慌てて消す前に記録を残し、パスワードの変更とサーバー会社への連絡から始めます。
この記事は、自社やお店のWordPressサイトが「乗っ取られていないか心配」「何か変な気がする」という担当者に向けて書いています。乗っ取られたあとに何が起きるか（検索からの除外や個人情報の報告義務など）は、WordPressが攻撃されたら何が起きる？で詳しく解説しています。この記事では、自分で確かめる方法に絞ります。
結論：「知らない管理者」と「知らないページ」をまず見る
WordPressの公式ドキュメントは、乗っ取りを疑うときは、まず「何を見て、そう思ったのか」という症状をはっきりさせるよう案内しています。症状が分かると、どこから調べればよいかが決まるからです。公式に挙がっている、はっきりした症状には次のようなものがあります。
- 検索エンジンに危険なサイトとして登録された、サーバー会社にサイトを止められた
- 訪問者のウイルス対策ソフトがサイトを危険と判定する
- 新しいユーザーが作られるなど、許可していない動きがある
このうち、持ち主が自分で、しかも早い段階で気づけるのは「許可していない動き」です。なかでも知らない管理者ユーザーと、自分が作っていないページは、攻撃者が入り込んだあとによく残す跡で、確かめるのも簡単です。
30分でできる確認の順番
7つのサインを、手軽に確かめられる順に並べました。①〜③と⑥は、管理画面とブラウザだけで確かめられます。
| サイン | 見る場所 | 目安の時間 | 必要なもの |
|---|---|---|---|
| ① 知らない管理者 | WordPressの「ユーザー」 | 5分 | 管理画面のログイン |
| ② 知らない所有者 | Search Consoleの「設定」 | 5分 | Search Consoleの所有者の権限 |
| ③ 知らないページ | Google検索 | 5〜10分 | ブラウザだけ |
| ⑥ 警告の表示 | Search Consoleの「セキュリティの問題」 | 3分 | Search Consoleの権限 |
| ⑤ 別サイトへの転送 | スマートフォンでGoogle検索から開く | 5分 | スマートフォン |
| ⑦ サーバー会社の連絡 | サーバー会社の管理画面のお知らせ | 3分 | サーバーのログイン |
| ④ ファイルの更新日時 | サーバーのファイルマネージャー | 10分〜 | サーバーのログイン、ファイルの知識 |
確かめた日時と結果はメモに残します。何も見つからなかった記録も、「いつまでは大丈夫だったか」の手がかりになります。
サイン① 知らない管理者ユーザーがいる
見る場所
WordPressの管理画面で「ユーザー」→「ユーザー一覧」を開きます。表の上にある権限ごとの絞り込み（「管理者」など）を押すと、管理者の権限を持つユーザーだけが表示されます。
危ない見え方
- 誰も覚えのないユーザー名の管理者がいる
- 知っている名前でも、メールアドレスが見覚えのないものに変わっている
- 管理者の数が、自分たちで把握している人数より多い
- 以前は「投稿者」や「購読者」だった人が、いつの間にか「管理者」になっている
あわせて見たい設定
- 「設定」→「一般」の「管理者メールアドレス」が、自社のアドレスのままか
- 同じ画面の「だれでもユーザー登録ができるようにする」が、使っていないのにオンになっていないか
- 「新規ユーザーのデフォルト権限グループ」が「管理者」になっていないか
見つけたら、削除する前にユーザー名・メールアドレス・見つけた日時を記録し、画面を保存します。削除の際にそのユーザーの投稿の扱いを聞かれたら、いったん自分に引き継ぎ、攻撃者が作ったページが残っていないか見直します。
サイン② Search Consoleに知らない所有者がいる
見る場所
Google Search Consoleで自分のサイトを選び、「設定」→「ユーザーと権限」を開きます。この画面は所有者しか見られません。
危ない見え方
覚えのない人が「所有者」として並んでいたら要注意です。Googleのヘルプも、覚えのない所有者を見つけた場合はハッキングされている可能性があるとしています。日本語キーワードハック（知らない日本語のページを大量に作る攻撃）では、攻撃者が自分をSearch Consoleの所有者として登録することが知られています。
消し方の注意
| 所有者の種類 | どうやって所有者になったか | 外し方 |
|---|---|---|
| 確認済み所有者 | サイトに確認用のファイルやタグ（確認トークン）を置いた | サイトにある、その人の確認トークンをすべて消す |
| 委任された所有者 | ほかの所有者に権限を付けてもらった | 「ユーザーと権限」のメニューから権限を削除する |
攻撃者は、サイトの中に確認用のファイルを置いたり、そのファイルを自動で作る仕掛け（.htaccessの書き換えなど）を入れたりします。Googleは、トークンを消しても攻撃者が置き直せることが多いため、サイト自体を安全にするか、専門家に依頼するよう案内しています。
サイン③ 「site:」検索で知らないページが出る
見る場所
Googleの検索窓に site:自社のドメイン（例：site:example.co.jp）と入れて検索します。サイト内のページだけが表示されるので、何ページか先までめくって見ていきます。
危ない見え方
- 自分たちが作っていない商品名・ブランド名・薬の名前などのページがある
- 意味の分からない英数字のフォルダ名やファイル名のURLがある
- 会社案内のサイトなのに、日本語や外国語の通販のような説明文が並んでいる
site:自社のドメイン 激安 のように、スパムでよく使われる言葉を足して探すと見つけやすくなります。
サイン④ ファイルの更新日時がおかしい
サーバーの中を見るため、自信がなければサーバー会社に確認を頼んでください。
見る場所
サーバー会社の管理画面にある「ファイルマネージャー」か、FTP・SFTPのソフトで、WordPressを置いているフォルダを開き、更新日時の新しい順に並べます。
危ない見え方
- 誰も作業していない日に、多くのファイルの更新日時がそろって変わっている
.htaccess、index.php、wp-config.php、テーマのheader.php・footer.php・functions.phpが、覚えのない日に更新されている- 画像を置く場所の
wp-content/uploadsの中に、.phpのファイルがある - ファイルを開くと、読めない文字の羅列や、
base64_decode・evalといった命令がまとまって入っている
WordPressの公式ドキュメントは、.htaccessは特に書き換えられやすく、index.phpやheader.phpなども全ページに影響するため狙われやすいとしています。ただし、更新日時は攻撃者が書き換えることもできるため、「日付が普通だから大丈夫」とは言えません。
コマンドが使える場合
サーバーにSSHで入れて、WP-CLI（WordPressをコマンドで操作する道具）が使えるなら、wp core verify-checksums で、WordPress本体のファイルが公式の配布物と同じかを確かめられます。--include-root を付けると、WordPressのものではないファイルが置かれていないかも警告してくれます。これで分かるのは本体のファイルだけで、テーマやプラグインは別に確かめる必要があります。
サイン⑤ 別のサイトへ飛ばされる
当ラボの運営会社が2018年ごろに被害にあったときも、最初の知らせは、お客さまからの「ホームページを開いたら海外のサイトに飛ばされる」という電話でした。私たち自身は、いつものように開いても異変に気づけていませんでした（詳しい経緯）。
Googleのヘルプも、攻撃者は訪問者の来た経路や端末によって飛ばすかどうかを変え、Google検索から来た人にだけ問題が起きる場合があるとしています。
確かめ方
- スマートフォンでGoogle検索から開く
ブックマークではなく、Googleで会社名を検索し、検索結果のリンクから開きます。パソコンでも同じように試します。 - Search ConsoleのURL検査ツールを使う
Googleから見たページの中身を確かめられます。自分のブラウザでは普通に見えるのに、Googleには別の内容が見えていたら要注意です。 - お客さまや社外の人に開いてもらう
自分の端末だけでは条件がそろわないこともあるため、ふだんサイトを見ない人に、別の端末で試してもらうのも有効です。
サイン⑥ ブラウザやGoogleに警告が出る
Googleがサイトの問題を見つけると、検索結果やブラウザに警告が出ることがあります。表示されるかどうかは、見る人の環境によって変わるため、自分の画面で出ないからといって問題がないとは限りません。
いちばん確かなのは、Search Consoleの「セキュリティの問題」レポートです。Googleも、問題があるかどうかはこのレポートを基準にするよう案内しています。ハッキング（許可のないページやコードの挿入）、マルウェア、だましてパスワードを入力させるページなどが見つかると、ここに表示されます。
サイン⑦ サーバー会社から連絡が来た
サーバー会社は、サーバーの中で怪しいファイルや大量のメール送信を見つけると、持ち主に連絡したり、サイトを止めたりすることがあります。WordPressの公式ドキュメントも、共用サーバーでは被害がほかのサイトに及ぶことがあるため、サーバー会社に確認するようすすめています。また、乗っ取られたサイトが迷惑メールの送信に使われ、同じサーバーの会社のメールまで届きにくくなることがあるとも書かれています。
本物の連絡かを確かめる
「改ざんを検知しました」というメールが、サーバー会社を装った偽物のこともあります。メールの中のリンクからはログインせず、ブックマークや自分で入力したURLからサーバー会社の管理画面に入り、同じお知らせが届いているかを確かめてください。
- 管理画面の「お知らせ」や「セキュリティ」の欄に、同じ内容があるか
- サイトやフォルダが「停止」「制限」になっていないか
乗っ取られていたときの対応手順
サインが1つでも見つかったら、次の順番で進めます。WordPressの公式ドキュメントの手順を、会社のサイト向けに整理しました。
- 記録する
何を見て乗っ取りだと思ったか、気づいた日時、最近した作業（プラグインを入れた、テーマを変えたなど）を書き出します。公式も、これが対応の土台になるとしています。 - サーバー会社に連絡する
同じサーバーのほかのサイトに広がっていないか、ログが残っているかを確認してもらいます。 - パソコンも調べる
公式は、攻撃の始まりが手元のパソコンであることも多いとしています。FTPや管理画面のパスワードを盗むウイルスがいないか、ウイルス対策ソフトで全体を調べます。 - すべてのパスワードを変える
WordPressの管理画面、FTP・SFTP、サーバーの管理画面、データベースのパスワードを、調べ終えた安全な端末から変えます。自分だけでなく、アクセスできる全員分です。 - ログイン中の人を全員締め出す
wp-config.phpにある認証用のキー（秘密鍵）を、WordPress公式の生成ページで作った新しい値に入れ替えると、ログインしたままの人は全員ログアウトされます。 - 今の状態を丸ごと保存する
掃除の前に、汚れた状態のままのコピーも取っておきます。原因の調査や、掃除で壊れたときに使います。 - 不正なものを取り除く
公式は、管理画面の「再インストール」ではなく、FTPなどで同じ版のwp-adminとwp-includesを入れ替えるようすすめています。上書きでは、攻撃者が足したファイルが残るためです。.htaccessとテーマ・プラグインのファイルも確かめます。 - 最新版にして、もう一度パスワードを変える
WordPress本体・テーマ・プラグインを最新にします。きれいになったことを確かめたあとに、パスワードをもう一度変えます。 - Googleに審査を依頼する
Search Consoleの「セキュリティの問題」に問題が出ていた場合は、すべて直してから審査を依頼します。審査は多くの場合、数日から数週間かかります。直す前に何度も依頼すると、かえって時間がかかることがあります。
確認を続けるための仕組みづくり
乗っ取りは、早く気づくほど被害が小さくなります。
| 頻度 | やること |
|---|---|
| 常に | Search Consoleに登録し、通知メールが届くアドレスを、実際に読まれているものにしておく |
| 毎月 | ①管理者の一覧、②Search Consoleの所有者、③site:検索の3つを確かめ、結果を記録する |
| 担当者が変わったとき | 辞めた人や前の制作会社のユーザーを消し、パスワードを変える |
守るための設定はWordPressのセキュリティ対策で詳しく解説しています。こうした確認や更新を続けるのが難しい場合は、守る場所そのものを減らす方法もあります。WordPressをやめたい人へ：理由別に分かる「次の選び方」も参考にしてください。
よくある質問
自分でサイトを開いて普通に見えれば、乗っ取られていないと考えてよいですか？
そうとは限りません。Googleは、攻撃者が持ち主からスパムを隠す「クローキング」や、Google検索から来た人にだけ別のサイトへ飛ばす仕掛けを使うことがあると説明しています。ブックマークから開くだけでなく、Google検索の結果から開く、Search ConsoleのURL検査ツールで確かめる、といった方法を組み合わせてください。
知らない管理者ユーザーを見つけたら、すぐに削除してよいですか？
削除する前に、ユーザー名・メールアドレス・見つけた日時を記録し、画面を保存してください。原因を調べるときの手がかりになります。そのうえで削除しますが、削除しただけでは、仕掛けられた不正なファイルや別の入り口は残ります。パスワードの変更やファイルの確認も続けて行ってください。
Search Consoleで知らない所有者の権限を削除しましたが、また現れます。なぜですか？
ファイルやタグなどの「確認トークン」で所有権を確かめた所有者は、Search Consoleの画面から外すだけでは消えず、サイトに置かれたトークンを消す必要があります。Googleは、攻撃者は新しいトークンを置き直せることが多いため、サイト自体を安全にするか、専門家に依頼するよう案内しています。
サーバー会社を名乗るメールに「改ざんを検知しました」とありました。本物でしょうか？
本物のこともあれば、偽物のこともあります。メールの中のリンクからログインせず、ブックマークや自分で入力したURLからサーバー会社の管理画面に入り、同じお知らせが届いているかを確かめてください。分からなければ、サーバー会社の公式サイトに載っている窓口に問い合わせます。
確認するだけでも、専門の会社に頼んだほうがいいですか？
サイン①〜③と⑥は、管理画面とブラウザだけで確かめられます。④のファイルの確認や見つけたあとの掃除は、自信がなければ専門の会社に相談してください。外から見える範囲なら、当ラボの無料サイト診断でも確かめられます。
参照元
- WordPress.org Documentation：FAQ My site was hacked（2026年7月26日更新）
- WordPress.org Documentation：Users screen
- WP-CLI Commands：wp core verify-checksums
- Search Console ヘルプ：ユーザー、所有者、権限の管理
- Search Console ヘルプ：セキュリティの問題レポート
- Google 検索セントラル：site: 検索演算子（2025年12月18日更新）
- web.dev：日本語キーワードハックを解決する
- 最終確認日：2026年10月31日
URLを送るだけで、外から確認できる範囲で、改ざんや危険の兆しがないかをお返しします。
運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。
