ウェブサイトが不正アクセスを受けたら ― 当社の経験と、地域の事業者が今日からできる備え

2026年7月29日

先般お知らせいたしましたとおり、当社の運営するサイトが第三者による不正アクセスを受けました。幸い、被害はすでに解消し、サイトは正常に復旧しています。

この経験を、私たちだけの出来事で終わらせず、同じようにウェブサイトを運営される地域の事業者・中小企業の皆さまのお役に立てればと思い、「何が起きたのか」「どう防げるのか」「もし遭ってしまったらどう動くか」を、専門知識がなくても分かるようにまとめました。

何が起きたのか ― 気づいたきっかけ

最初の異変は、運営メディア「Tokuyamap」にアクセスしたときでした。いつものサイトが表示されず、「サイトが見つかりません」という表示になっていたのです。

このとき、同じサーバーで運営している他のサイトは、見た目には普通に表示されていました。ここで「1サイトだけの問題だろう」と考えて放置しなかったことが、結果的に被害の拡大を防ぎました。複数のサイトを同じサーバーにまとめて置いている場合、1つのサイトの異変は、サーバー全体が影響を受けているサインかもしれないからです。過去の経験からその可能性を疑い、まずサーバー全体にアクセス制限をかけて、状況を確認できる状態を確保しました。

調べてみると、サーバーの内部には、外部からこっそり操作するための不正なファイルが仕込まれていました。さらに、検索エンジンで自社サイトを調べると、検索結果に表示されるタイトルが、当社とはまったく無関係な海外の宣伝文句に書き換えられていました。

こうした攻撃は、情報を盗むというより、他人のサイトの信用を借りて、検索結果に自分たちの宣伝を紛れ込ませることを狙ったものが多く見られます。サイトが一見すると普通に表示されている場合もあり気づきにくく、放置すると検索順位や信頼を損なう厄介なものです。だからこそ、小さな異変を「たまたま」で片づけず、いったん立ち止まって全体を確認する姿勢が大切だと、今回あらためて実感しました。

なぜ起きたのか ― 「更新の放置」という落とし穴

原因は、サイトに導入していたあるプラグイン（拡張機能）が古いまま更新されておらず、そこに弱点（脆弱性）が残っていたことでした。

WordPressのようなソフトは、本体もプラグインも、弱点が見つかるたびに修正版が配布されます。裏を返せば、更新を放置したソフトは、公開されている弱点をそのまま抱え続けることになります。攻撃者はその弱点を機械的に探し回っているため、「小さな会社だから狙われない」ということはありません。むしろ更新が後回しになりがちなサイトほど狙われます。

今日からできる5つの備え

特別な専門知識がなくても、次の5つを押さえるだけで、被害に遭う確率は大きく下げられます。

1. 更新を放置しない プラグイン・テーマ・WordPress本体の更新通知が出たら、早めに適用する。これが最も効果的で、最も見落とされがちな対策です。

2. 使わないものは減らす／正規のものだけ使う 使っていないプラグインは無効化・削除する。そして、無料配布サイトなどから入手した非正規版（いわゆる海賊版）は使わない。非正規版は、それ自体に不正な仕掛けが仕込まれていることがあります。

3. ログインを守る 管理画面のログインページのアドレスを標準から変更する、画像認証を入れる、そして可能なら二段階認証を導入する。入口を固めるだけで、不正ログインの多くは防げます。

4. バックアップ＝「元に戻せる」状態を保つ 定期的にバックアップを取り、いざというとき安全な状態に戻せるようにしておく。復旧の速さは、バックアップの有無で大きく変わります。

5. 早く気づく仕組みを持つ Google Search Consoleに登録しておくと、セキュリティ上の問題が検知された際に通知が届きます。あわせて、ときどき自社名で検索し、表示されるタイトルや説明文に不自然な点がないかを確認する習慣も有効です。

もし被害に気づいたら ― 初動の順番

万一、不正アクセスに気づいたときは、あわてて操作する前に、次の順序を意識してください。

記録を残す（あわてて消さない）：不正なファイルをいきなり削除する前に、状態のコピーを残しておく。原因の究明や、必要な報告の裏付けになります。
被害の拡大を止める：サイトを一時的にアクセス制限し、これ以上書き換えられない状態にする。
専門家・サーバー会社に相談する：判断に迷う部分は、無理に自己流で進めず相談を。
パスワード等をすべて変更する：管理画面、サーバー、データベースなど、関係する認証情報を「盗まれた前提」で一新する。
きれいにしてから公開に戻す：不正な仕掛けを取り除き、入口の弱点をふさいでから、公開を再開する。掃除の前に公開に戻すと、再び汚染されることがあります。
検索結果の回復を依頼する：Search Consoleから正常なページの再取得（再クロール）を依頼すると、汚染された表示は順次、正常な内容へ戻っていきます。