WordPressが改ざんされたときの対処｜見分け方・初動・復旧方法
この記事のポイント
- 表示異常だけで改ざんとは断定しない
- 状態確認と保全をしてから復旧する
- 復旧方法は作業量と持ち主の意向で決める
- 復旧後はIDとパスワードを使い回さない
- 侵入経路が分からなくても復旧は進められる
記事の概要
この記事は、会社のWordPressサイトが書き換わった、表示がおかしいと指摘され、対応に迷っている担当者向けです。
この記事でわかること
- 改ざんかどうかを見る順番
- 戻す・直す・作り直す判断基準
- 復旧後のパスワードと更新の考え方
※この記事は一般的な対応をまとめたもので、個別のサイトが安全であることや完全な復旧を保証するものではありません。
WordPressが改ざんされたときの結論外観、更新状況、バックアップとの差分の順で見る状態を確認し、保全できるなら保全するサイトに関わるパスワードをすぐ変更する作業量と持ち主の意向から復旧方法を決める復旧後は固有のIDとパスワードを使う
1. WordPressの改ざんかどうかを見分ける
表示がおかしいだけで改ざんと決めず、外観、更新状況、バックアップとの差分を順番に見ます。
株式会社iTechへ寄せられた相談では、お客様の最初の言葉は「サイトが書き変わってる」「サイトの表示がおかしい」でした。
一方、表示が崩れていても、調べると改ざんではなく、プラグインの更新不足が原因だった例があります。そのため、見た目だけで結論を出さず、次の順番で状態を見ます。
- ブラウザでサイトを開き、以前と外観が変わっていないかを見ます。
- WordPress管理画面を開き、プラグインとWordPress本体のアップデート状況を見ます。
- サーバー上のファイルとバックアップを照らし合わせ、不要なファイルが混じっていないかを見ます。
株式会社iTechが対応した例では、不要なデータを人の手で探しました。また、弊社が見た例では、改ざんの前後で海外からのアクセスが増えていました。
改ざんの詳しい兆候は、次の記事へ分けています。
WordPressのセキュリティ対策｜最低限と継続の判断基準
2. 改ざんだったら最初にやること
改ざんだった場合は、状態確認、保全、パスワード変更、メンテナンス画面、復旧判断の順で進めます。
株式会社iTechが改ざんの相談を受けたときは、次の順番で対応します。
- ブラウザでサイトを開き、現在どのような表示になっているかを見ます。
- 保全できる場合は、残っているファイルとデータベースを保存し、被害を受けたサイトのバックアップだと分かるようにします。
- WordPress管理画面、FTP、サーバー管理パネル、データベースなど、各アクセス先の画面を開いてパスワードを変更します。
- 公開中のサイトにメンテナンス画面をいったん差し込み、すぐに復旧できない場合も、その状態で復旧作業を進めます。
- クリーンなバックアップから戻すか、現在のサイトを直すかを判断します。
WordPress公式は、すべてのアクセス先のパスワードに加え、wp-config.phpの秘密鍵も新しくするよう案内しています。秘密鍵を変更すると、ログインしたままの状態を保つCookieが無効になります。
また、残っているファイルとデータベースを保全し、被害を受けていないクリーンなバックアップから復元する流れも示しています。出典：WordPress公式「FAQ ハッキングされた場合は」（2026年10月13日確認）
あわせて行うこと
手元のパソコンでは、セキュリティソフトの画面からフルスキャンを実行します。攻撃や感染の出どころが手元のパソコンである場合もあるためです。
サーバー会社にも連絡し、共有サーバーを利用している場合は、ほかのサイトにも被害が及んでいないかを尋ねます。
サイトがスパムメールの送信に使われると、メールアドレスやIPアドレスがスパム送信元として登録されることがあります。出典：WordPress公式「FAQ ハッキングされた場合は」（2026年10月13日確認）
問い合わせフォームなどで個人情報を扱っていた場合は、個人情報保護委員会の「漏えい等の対応とお役立ち資料」を確かめてください。
3. 戻す・直す・作り直す方法を決める
復旧方法は、作業量と金額を比べたうえで、サイトの持ち主が何を大切にしたいかによって決めます。
WordPress公式は、被害を受けていないクリーンなバックアップがあれば、そこから復元するよう案内しています。
バックアップがない場合は、新しいサイトをゼロから作るか、悪意のあるコードを手で見つけて消すかが選択肢です。ただし、専門家でも完全にきれいにすることは難しく、一つでも見落とすと再び被害を受けます。
一方、すべてを削除してゼロから始める方法も現実的ではないとしています。出典：WordPress公式「FAQ ハッキングされた場合は」（2026年10月13日確認）
株式会社iTechでは、戻す、直す、作り直す場合の作業量と金額を比べます。結果として安い方法に決まることが多いものの、最終的な選択は、持ち主が何を大切にしたいかによって変わります。
弊社が対応した改ざん2件では、サイトの複製が残っていたかどうかにより、作り直す方法と複製から戻す方法に分かれました。詳しい経緯と復旧費用の比較は、次の記事にまとめています。
WordPressの保守とは？費用相場と頼まなかったときにかかるお金
4. Googleの警告が出ているときに対応する
Googleの警告が出ている場合は、サイトを修正したあとにSearch Consoleから審査を依頼します。
Search Consoleのセキュリティの問題レポートには、サイトがハッキングされている場合などに、Googleの調査結果が表示されます。影響を受けると、検索結果に警告ラベルが付いたり、ブラウザで警告ページが表示されたりします。
- Search Consoleを開き、対象サイトのセキュリティの問題レポートを押します。
- 表示された問題を読み、サイト側の修正を終えます。
- レポート内の「審査をリクエスト」を押します。
- 入力欄に修正した内容を書き、送信します。
- 最終決定が届くまで、同じリクエストを再送信せずに待ちます。
再審査はほとんどが数日から数週間で、進み具合はメールで届きます。出典：Google Search Consoleヘルプ「セキュリティの問題レポート」（2026年10月13日確認）
5. 復旧を誰に頼み、何を渡すか
自社でファイルやデータベースを扱えない場合は、WordPressの復旧に対応できる制作会社や保守会社へ頼みます。
サーバー会社にも状況を伝え、サイト側の復旧は制作会社や保守会社へ依頼します。相談時に用意するものは次のとおりです。
- WordPress管理画面のログイン情報
- サーバーの情報
- FTPの情報
- デザインデータ
FTPとは、サーバー上のファイルを確認したり転送したりする仕組みです。
株式会社iTechの経験では、復旧期間は内容によって半日から長くて1週間くらいでした。クリーンな複製の有無や、現在の状態によって必要な期間は変わります。
6. 復旧後のID・パスワードと更新を見直す
復旧後は、IDとパスワードをほかのサービスと確実に違うものにし、WordPressを更新します。
復旧後、お客様から多かった質問は「今後どのようにしたらいいですか」でした。株式会社iTechでは、IDとパスワードを、ほかで使っているものと確実に違うものへ変え、パスワードは月1回など周期を決めて変更するよう伝えています。
WordPress公式も、複雑で長く、サイトごとに固有のパスワードを使い、パスワード生成ツールを利用するよう勧めています。出典：WordPress公式「FAQ ハッキングされた場合は」（2026年10月13日確認）
改ざんのあとはすぐ変更する
改ざんのあとにパスワードをすぐ変更する点は、株式会社iTechの運用と総務省の見解で一致します。
- WordPress管理画面、FTP、サーバー管理パネル、データベースの各画面を開きます。
- それぞれのパスワード変更箇所を押し、ほかで使っていない固有のパスワードへ変更します。
- 復旧が終わったら各画面をもう一度開き、作業後のパスワードへ再度変更します。
周期を決めた変更と、総務省の考え方
株式会社iTechでは、月1回など周期を決めた変更をお願いしています。一方、総務省はNISTとNISCの見解として、定期変更は必要なく、流出したときに速やかに変更すると紹介しています。
定期的に変えると、パスワードの作り方がパターン化して簡単になったり、複数のサービスで使い回したりする方が問題になるためです。定期変更よりも、機器やサービスごとに固有のパスワードを設定することが求められています。
出典：総務省「安全なパスワードの設定・管理」（2026年10月13日確認）
株式会社iTechでは、周期を決めて変更する場合も、生成ツールやパスワードマネージャーを使い、毎回長く固有のパスワードにすれば、単純なパターンになる問題を防げると考えています。
生成ツールとパスワードマネージャーを使う
Chromeでは、アカウント作成時にパスワードを自動生成できます。
- パソコンでChromeにログインします。
- アカウント作成画面のパスワード入力欄を押します。
- 「安全なパスワードを使用」を押します。
- 表示された内容を確かめ、「提案されたパスワードを使用」を押します。
生成したパスワードはGoogleアカウントへ自動的に保存され、Googleパスワード マネージャーで各サイトのパスワードを保存できます。この操作はアカウント作成時の手順であり、既存のWordPressのパスワード変更画面に同じ表示が出るという意味ではありません。
出典：Chromeヘルプ「Chromeでパスワードを管理する」（2026年10月13日確認）
WordPressを更新する
サイトがきれいになったら、WordPressを最新版へ更新し、パスワードをもう一度変更します。更新は表示が戻ったあとの追加作業ではなく、復旧の一部です。
WordPressの更新や継続的な対策は、次の記事へ分けています。
WordPressの脆弱性とは？自社サイトが該当するか確認する方法
WordPressのセキュリティ対策｜最低限と継続の判断基準
7. WordPress改ざんについてのよくある質問
自社で判断できない作業があれば、ファイルを削除する前に制作会社や保守会社へ相談します。
自分で直せますか？
状態の確認、パスワード変更、手元のパソコンのフルスキャン、サーバー会社への連絡は自社でも進められます。
悪意のあるコードを手で探して消す作業は、専門家でも完全にきれいにすることが難しいため、サーバー上のファイルやデータベースを扱えない場合は依頼してください。
侵入経路は必ず分かりますか？
侵入経路を必ず特定できるわけではありません。株式会社iTechが対応した改ざん2件でも、どこから侵入されたかは突き止められませんでした。
侵入経路が分からなくても、状態の保全、パスワード変更、復旧、WordPressの更新は進められます。
表示が崩れただけでも改ざんですか？
表示が崩れただけでは、改ざんと断定できません。株式会社iTechへ相談された例では、プラグインの更新不足が原因でした。
外観だけで決めず、プラグインとWordPress本体の更新状況、バックアップとのファイル差分まで順番に見ます。
復旧にどれくらいかかりますか？
株式会社iTechの経験では、内容によって半日から長くて1週間くらいです。サイトの状態や、復旧に使える複製が残っているかどうかで期間は変わります。
WordPressをやめたほうがいいですか？
改ざんされたことだけで、WordPressをやめると決める必要はありません。復旧後の更新とパスワード管理を含め、今後どのように運用するかを決めます。
判断材料は、次の記事にまとめています。
WordPressのセキュリティ対策｜最低限と継続の判断基準
8. まとめ：改ざんの状態に合った復旧を進める
WordPressの改ざんに気づいたら、状態とデータを保全し、利用できる複製と持ち主の意向から復旧方法を決めます。
表示異常があっても、原因がプラグインの更新不足だった例があります。外観、更新状況、バックアップとの差分の順で見たうえで、改ざんだった場合はサイトに関わるパスワードをすぐ変更してください。
株式会社iTechでは、WordPressの改ざんに関する相談と、改ざんされていないか不安な方向けの無料診断を受け付けています。復旧後に保守契約へ移行した例もあり、復旧から今後の運用まで相談できます。
※実際の復旧方法や期間は、改ざんの状態、残っているデータ、サーバー環境によって変わります。公開再開の前には、サイトの状態を扱える制作会社や保守会社の判断を受けてください。
執筆者
株式会社iTech愛知県豊田市の、Web制作とSEOを得意とするWebマーケティング会社です。ホームページやLPの制作から、公開後の保守・運用、SEO・SNSなどの集客支援まで、伴走型で中小企業のサイトをお手伝いしています。
この記事、うちの会社なら何ができる？
業種と状況を選ぶと、AI がこの記事をあなたの会社に当てはめて、できることを整理します。会社名の入力はいりません。
押すと、選んだ AI が新しいタブで開きます。送るのは上の選択内容と、この記事の題と URL だけです。AI の回答は誤りを含むことがあります。
