ホームページの改ざんは、Googleの無料診断で今すぐ確認できる
最初に結論です。ホームページが改ざんされていないかは、Googleが提供する次の2つの無料の手段で確認できます。専門知識は要らず、所要時間はあわせて10分ほどです。
1つ目は、Google 透明性レポートの「セーフ ブラウジングのサイト ステータス」です。自社サイトのURLを入力すると、Googleのセーフブラウジング（危険なサイトを検知してブラウザに警告を出す仕組み）で、そのサイトが現在どう判定されているかを確認できます。自社のページを開かずに調べられるので、「開くのが怖い」状態でも使えます。
2つ目は、Google Search Consoleの「セキュリティの問題」レポートです。Googleの評価でサイトがハッキングされている場合や、訪問者に危害が及ぶおそれのある動作が検出された場合に、調査結果が表示されます。問題は「ハッキングされたコンテンツ」「マルウェアや望ましくないソフトウェア」「ソーシャル エンジニアリング」に分類され、影響を受けたURLの例も確認できます。問題があると、検索結果に警告ラベルが付いたり、ブラウザで警告ページが表示されたりすることがあります（出典：Search Console ヘルプ「セキュリティの問題レポート」。画面仕様は変わることがあります。2026年10月時点の確認）。
Search Consoleは、自社サイトの所有者として登録しておく必要があります（担当はサイト担当者、登録の作業は30分ほど）。登録しておくと、問題が検出されたときに通知を受け取れます。ただし、この2つで「問題なし」と出ても、改ざんされていないと言い切れるわけではありません。Googleが検知できるのは外から見える変化が中心だからです。だからこそ、次の章の兆候5つをあわせて見ておきます。
改ざんの兆候5つ｜どこを見れば分かるか
弊社が診断や保守の現場で「改ざんのサイン」として確認している場所を、気づきやすい順に5つ並べました。月1回、10分の点検で確認できます。
| 兆候 | 見る場所 | 確認のしかた |
|---|---|---|
| 1. 検索結果の警告・見覚えのないページ | Googleで「site:自社ドメイン」を検索 | 作った覚えのないページや外国語のページが並んでいないか |
| 2. 別サイトへの転送 | 自社サイトを実際に開く | 開いた瞬間に別のサイトへ飛ばされないか。パソコンとスマートフォンの両方で確認 |
| 3. 見覚えのない管理者 | CMSやサーバーの管理画面のユーザー一覧 | 作った覚えのないアカウントが増えていないか |
| 4. 不審なファイル | サーバー上のファイル一覧 | 更新した覚えのない日時に変更されたファイルや、見覚えのないファイルがないか |
| 5. サーバー会社からの通知 | 登録しているメールアドレスの受信箱 | 「不正なファイルを検知した」等の通知を見落としていないか |
1と2は誰でも今日確認できます。3は管理画面に入れる人なら10分です。作った覚えのないアカウントの確認は、退職者や外注先のアカウント整理とあわせてやると効率的です（手順は退職者のアカウント削除チェックリストへ）。4はサーバーのファイルを見られる人向けで、難しければ保守会社に「最終更新日時が不自然なファイルはないか」と確認を依頼する形でかまいません。
5は意外な盲点です。サーバー会社やドメイン管理会社は、不正なファイルの検知などの異常があるとメールで通知してきますが、制作会社のアドレスで契約したままだと、その通知が自社に届きません。契約時の連絡先が今も生きているかを、この機会に確認してください。
改ざんに気づけない理由｜サイトは何事もなく動き続ける
「改ざんされたら画面が変わるから、すぐ分かるはず」と思われがちですが、実際は逆です。改ざんの多くは見た目を変えません。閲覧者を別サイトに誘導する仕掛けや、外部から操作するための不正なプログラムを、目立たない場所に置いていくだけだからです。
弊社が開発を引き継いだあるWebサービスで、着手前の点検をしたときのことです。サーバーの中から、第三者が設置した不正なプログラムが見つかりました。それでも、サービス自体は何事もなく動き続けていました。さらに、改ざんを検知する仕組みは入っていたものの、設定エラーで止まったままでした。ログ（操作の記録）の保存期間が短かったため、いつ・どこから入られたのかは特定できませんでした。この点検の詳細はWebアプリの点検で見つかった3つの穴にまとめています。
同じ構図の事案は、いままさに増えています。JPCERT/CC（日本のセキュリティ事故対応の調整機関）は2026年10月8日、国内組織への不正アクセスが相次いでいるとして注意喚起を公表しました。確認されている攻撃の中には、公開Webサーバーからアクセスできるサーバーに外部から操作するための不正なプログラムが設置された事案も含まれています（出典：JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」）。
また、IPA（情報処理推進機構）も2026年10月9日の注意喚起で、外部に公開しているアプリケーションについて、直近のログに異常がないかを確認し、まず直近1か月、その後3か月と段階的に対象期間を広げて点検することを挙げています（出典：IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」）。会社のホームページも「外部に公開しているアプリケーション」のひとつです。
何年も更新していないサイトほど、入られてから気づくまでが長くなります（何年も放置したホームページの危険）。気づけない期間を短くする手段が、前の章の月1回・10分の点検です。
改ざんが疑われたら｜消す前に残す・止める・塞ぐ・戻すの順序
兆候が見つかったとき、いちばんやってはいけないのが「不審なファイルをその場で削除する」「サーバーを初期化して作り直す」ことです。先に消してしまうと、どこから入られたのかを調べる材料と、あとで取引先や関係者に説明するための記録が、両方消えます。原因が分からないまま作り直せば、同じ入口からまた入られます。
弊社が事業者の事故対応を支援したときも、消す前に証拠を保全する、外部からの入口を閉じる、対応の時系列を記録する、の順で進め、それが後の原因調査と関係者への説明の土台になりました。ホームページの改ざんに置き換えると、次の4段階です。
- 1. 残す：消す前に、今の状態の記録を取る。サーバー会社のバックアップ機能で現状のコピーを保存し、不審なファイルの名前・場所・更新日時を控え、警告画面や転送先はスクリーンショットに残す。「いつ・誰が・何をしたか」のメモもここから書き始める
- 2. 止める：被害を広げないために、サイトの公開を一時停止する（メンテナンス表示に切り替える、サーバー会社の機能で公開を止める等）。あわせて、管理画面とサーバーのパスワードをすべて変更する
- 3. 塞ぐ：どこから入られたかを調べ、その入口を閉じる。古いままのCMSやプラグイン、推測されやすいパスワード、見覚えのない管理者アカウントが定番の入口。自社で特定が難しければ、この段階で専門家に調査を依頼する
- 4. 戻す：改ざん前の正常なバックアップから復元し、CMSやプラグインを最新にしてから公開を再開する。復元後も、しばらくは兆候5つの確認頻度を上げる
4で詰まる会社が多いのが「戻せるバックアップがない」場合です。改ざんされた後のデータしか残っていなければ、復元してもまた汚染された状態に戻ってしまいます。日頃の持ち方はバックアップの3-2-1ルールで書いたとおり、世代を分けて残しておくことが、改ざん対応でもそのまま効きます。
なお、顧客の個人情報を預かっているサイトで、その情報に不正アクセスが及んだおそれがある場合は、個人情報保護委員会への報告や本人への通知が必要になることがあります。該当するかどうかは個人情報保護委員会の相談窓口や専門家に早めに確認してください。報告の仕組みは、この連載で後日取り上げます。
再発防止は「入口を塞ぐ」と「月1回の点検」の2本立てで
復旧して終わりにすると、同じ入口からまた入られることがあります。攻撃の多くは特定の会社を狙ったものではなく、自動のプログラムが開いている入口を探し続けているからです。再発防止でやることは、新しい道具の購入ではなく、次の2つです。
- 入口を塞ぐ：CMS本体とプラグインの更新を最新に保つ。使っていないプラグインは削除する。管理画面のログインには長いパスワードと二段階認証を設定する（仕組みは多要素認証とは？会社で最初に設定する5つへ）。管理者アカウントの一覧から、退職者や以前の制作会社のIDを外す
- 月1回の点検に組み込む：本記事の兆候5つと、Googleの2つの無料診断を、月1回の点検項目に加える。担当者と実施日を決め、確認した日付を記録する。1回10分で済みます
自社サイトがWordPressの場合の具体的な手順は、この連載のWordPressセキュリティ対策の回で優先順位つきで取り上げています。
改ざんへの備えで大事なのは、検知の仕組みの高度さではなく、見る人と見る日が決まっていることです。弊社の点検で見つかった事例でも、検知の仕組みは入っていたのに、止まっていることに誰も気づいていませんでした。
本記事の内容は、2026年10月時点で公表されている資料をもとに編集部が整理したものです。最新の情報は各出典でご確認ください。
「改ざんされていないか」を、URLだけで外から点検する
兆候の確認までは自社でできても、サーバーの中のファイルやログまで見るのは難しいものです。セキュリティ診断は5,000円（税抜）の固定料金で、サイトのURLだけで始められます。点検後の更新・バックアップ・監視は、月額9,800円（税抜）からの保守で引き受けます。
セキュリティ診断の内容を見る →よくある質問
Q. 自社のホームページが改ざんされていないか、無料で確認する方法はありますか？
Googleが提供する2つの手段が無料で使えます。1つは透明性レポートの「セーフ ブラウジングのサイト ステータス」で、URLを入力するだけで現在の判定状況を確認できます。もう1つはSearch Consoleの「セキュリティの問題」レポートで、ハッキングされたコンテンツなどが検出されると調査結果が表示されます。あわせて、site:検索で見覚えのないページがないか、別サイトへ転送されないかも確認してください。
Q. 不審なファイルを見つけました。すぐに削除してよいですか？
削除は後回しにしてください。先に消すと、どこから入られたかを調べる材料と、関係者に説明するための記録が消えます。順序は、現状のコピーとスクリーンショットを残す、サイトの公開を一時停止してパスワードを変える、入口を特定して塞ぐ、正常なバックアップから戻す、の4段階です。原因の特定が難しければ、証拠を残した状態で専門家に調査を依頼してください。
Q. 検索結果に自社サイトの警告が出ています。放っておくとどうなりますか？
警告が出ている間は、検索結果にラベルが付いたり、アクセス時にブラウザの警告ページが表示されたりして、訪問者の多くがサイトに来なくなります。問題を修正したうえで、Search Consoleの「セキュリティの問題」レポートから審査をリクエストすると、確認後に警告が解除される流れです。放置しても自然には消えないため、本記事の復旧の順序で対処してください。
Q. 制作会社にサイトを任せています。自社では何をすればよいですか？
兆候5つのうち、site:検索・別サイトへの転送・サーバー会社からの通知の宛先は自社で確認できます。そのうえで制作会社に「不審なファイルの確認は誰がしているか」「異常があったときの連絡の流れ」を聞いてください。即答できない場合、誰も見ていない期間ができている可能性があります。外から手早く確かめたい場合は、弊社のセキュリティ診断がURLだけで点検できます。