サイトの被害に気づいたら――最初の24時間で、やることと、やってはいけな⁠い⁠こ⁠と

サイトが乗っ取られたと分かったとき、最初にやりがちなのは、怪しいファイルを消して、元に戻したことにすることです。気持ちは分かりますが、それでは入口が残り、何が起きたかの証拠も消えます。Googleの開発者向けの解説によると、乗っ取られたサイトの約20％は、1日以内にまた乗っ取られます（web.dev）。入口を閉じないまま直しても、すぐに戻されるということ⁠で⁠す⁠。

この記事では、被害に気づいてから最初にやることを、順番に書きます。ウェブのセキュリティの基本の4本のうち、3本目です。法律の扱いは、2026年11月8日時点の個人情報保護委員会のページにより⁠ま⁠す⁠。

止めて⁠、⁠残⁠す

最初に、被害が広がるのを止めます。サイトをメンテナンスの表示に切り替えるか、アクセスを制限します。訪問者を別のサイトに転送しているなら公開を止め、決済やフォームがあるなら、受け付けを止めることを考えます。サイトを止めれば売上に響きますが、カード情報や個人情報が入力されるたびに盗まれている状態なら、止めない理由はありません。迷ったら、決済とフォームだけでも止めてくだ⁠さ⁠い⁠。

止めたら、直す前に今の状態の写しを取ります。サイトのファイル一式とデータベース、それにアクセスログ、エラーログ、管理画面のログインの記録です。Googleの解説も、手を入れる前にファイルとデータベースをバックアップするよう書いています（web.dev）。レンタルサーバーのログは古いものから自動で消えることがあるので、最初の日に取ってくだ⁠さ⁠い⁠。

パスワードを全部変え、知⁠ら⁠せ⁠る

次に、パスワードと鍵を全部変えます。CMSの管理画面だけでは足りません。サーバーのコントロールパネル、FTPやSFTP、SSH、データベース、CMSの管理者の全員、サイトから送るメールのアカウント、決済や外部サービスのAPIのキーまでです。この作業は、ウイルスに感染していない別のパソコンでしてください。担当者のパソコンからパスワードが盗まれていた場合、同じパソコンで変えても、また盗まれ⁠ま⁠す⁠。

そして、自分たちだけで抱え込まないでください。サーバーの会社、制作会社や保守を頼んでいる会社、決済があるなら決済代行の会社、それに社内の責任者に知らせ⁠ま⁠す⁠。

入口を閉じてか⁠ら⁠直⁠す

直すのは、入口を見つけて閉じてからです。古いままのCMSやプラグイン、PHPがあれば、それが入口の候補です。知らない管理者やプラグインがないかも見ます。そのうえで、汚染される前のきれいなバックアップから戻して全部を最新にし、CMSの本体、プラグイン、テーマを公式から入れ直します。怪しいPHPのファイルを探す手がかりとして、Googleの解説は、最近の更新日と見慣れない名前、それにbase64_decodeやeval、gzinflateのような、中身を隠す関数を挙げています（web.de⁠v⁠）⁠。

直したら、Search Consoleの「セキュリティの問題」から、Googleに審査を申請します。何が起きて、何をして、どうなったかを書いて出し、結果が出るまでに数日から数週間かかります。一部のページだけ直しても警告は外れないので、サイト全体を直してから申請してください。審査中に申請を繰り返すのも逆効果で、早すぎる申請は次の審査を遅らせることがあります（Search Console ヘル⁠プ⁠）⁠。

ここまでの順番を崩すと、どうなるかも書いておきます。怪しいファイルを消して終わりにすれば、入口が残ります。サーバーを初期化してから原因を調べようとしても、調べる材料はもう残っていません。入口を閉じないままバックアップから戻せば、同じ入口からまた入られ⁠ま⁠す⁠。

個人情報が漏れたおそれがあ⁠る⁠と⁠き

個人情報保護法では、漏えいやそのおそれが一定の場合に当たると、個人情報保護委員会への報告が義務になります。病歴などの要配慮個人情報が含まれるとき、クレジットカードの番号のように財産的な被害のおそれがあるとき、不正の目的のおそれがあるとき、そして本人の数が1,000人を超えるときです（個人情報保護委員⁠会⁠）⁠。

サイトの乗っ取りで個人情報が漏れたおそれがあるなら、「不正の目的」に当たることが多いと考えられます。委員会のページも、不正アクセスによる漏えいや、改ざんされたサイトから入力された個人情報が第三者に送られた場合を例に挙げていて、この類型には人数の条件がありま⁠せ⁠ん⁠。

報告には期限があります。速報は知った日から3〜5日以内、確報は30日以内で、不正の目的のおそれがある場合は60日以内です（個人情報保護委員会）。報告は原則として委員会のオンラインのフォームから出し、本人への通知も必要です（法第26条第2項。ガイドライン 通則⁠編⁠）⁠。

なお、法改正にともなう政令や規則の見直しが検討されています（2026年10月1日の委員会事務局の資料）。実際に報告するときは、委員会のページで最新の扱いを確かめ、判断に迷えば弁護士にも相談してくだ⁠さ⁠い⁠。

相談先

公的な相談先は三つあります。IPAの企業・組織向けの相談窓口は、初動や応急処置の助言、専門業者の紹介、ほかの相談先の案内をしてくれます。受け付けはメールだけで、調査や解析そのものはしないので、ログの調査を頼むなら専門の会社になります（IP⁠A⁠）⁠。

JPCERT/CCのインシデント報告は、改ざんされたサイトへの対応の依頼などを、ウェブのフォームかメールで受け付けていて、発生元への連絡や調整をしてくれます。被害届は最寄りの警察署に出しますが、警察のサイバー事案の窓口では、オンラインでの通報や相談も受け付けてい⁠ま⁠す⁠。

起き⁠る⁠前⁠に

この手順にかかる時間は、準備があるかどうかで大きく変わります。バックアップをサーバーとは別の場所に取り、一度は戻せることを試しておくこと。ログがどこに何日分残るかを確かめておくこと（確かめ方は、2本目の乗っ取りに気づくための見張りの記事に書きました）。サーバー、制作会社、決済代行の連絡先を一枚にまとめ、誰がサイトを止める判断をするかを決めておくこと。それだけで、最初の24時間の動きはずいぶん違い⁠ま⁠す⁠。

経営者として先に決めておくことは、ゼロトラストとAI時代のセキュリティ対策の記事に書いています。被害に気づいた方、その疑いがある方は、お問い合わせからご連絡くだ⁠さ⁠い⁠。