自社サイトを開いたら見覚えのない文字列が入っていた。検索結果に不自然な説明文が出ている。取引先から「おたくのサイト、大丈夫ですか」と連絡が来た。Webサイトの改ざんは、こうした外部からの指摘で気づくことが最も多い種類の事故です。
そして、多くの担当者が最初にやってしまうのが「とりあえず元に戻す」という対応です。これは原因調査に必要な痕跡を消してしまい、結果として同じ改ざんを繰り返される原因になります。
この記事では、Webサイトの改ざん・不正アクセスが起きたときの初動と、見落とされがちな法律上の報告義務、そして平時にできる備えを整理します。累計1500件超のDX活用支援を行ってきた株式会社キャンバス（キャンバスラボ）が解説します。
この記事の要点
- 改ざんに気づいたら、復旧より先に記録を取る。スクリーンショットとログを残さないと原因を特定できない。
- 個人情報保護委員会は、報告対象となる事態の一つ「不正の目的をもって行われたおそれがある行為による漏えい等」の例示にウェブサイト改ざんを挙げている（2026年11月時点）。
- 報告の期限は速報が発覚から概ね3〜5日以内、確報が30日以内。不正な目的のおそれがある場合の確報は60日以内。
- IPA「情報セキュリティ10大脅威 2026」組織編で「システムの脆弱性を悪用した攻撃」は4位。改ざんの多くはここから起きる。
- ページを元に戻しただけでは再発する。入口を塞いでからの復旧が原則。
関連記事：ホームページ保守と脆弱性対応｜会社の選び方／PHPの脆弱性PHP2shell｜今すぐの確認手順
目次
Webサイト改ざんとは？
Webサイト改ざんとは、管理者の意図しない第三者が公開中のページやプログラムを書き換え、表示内容の変更・不正なスクリプトの埋め込み・別サイトへの転送などを行わせる攻撃である。
改ざんには、見た目で分かるものと分からないものがあります。トップページが書き換えられれば誰でも気づきますが、実際に多いのは見た目を変えない改ざんです。ページの裏側に不正なスクリプトを仕込み、訪問者を別サイトへ誘導したり、検索エンジンにだけ別の内容を見せたりします。自社の担当者が普通にサイトを見ても気づけません。
改ざんに気づいたら、まず何をすればよいですか？
最初にやるべきは復旧ではなく記録です。改ざんされた画面のスクリーンショット、気づいた日時、気づいた経緯（誰から・どの経路で）、そしてサーバーのアクセスログを保全します。
| ステップ | やること | やってはいけないこと |
|---|---|---|
| 1. 記録 | 画面の保存、日時と経緯のメモ、アクセスログの保全 | 先にファイルを上書きする／ログを消す |
| 2. 公開可否の判断 | 訪問者に実害が及ぶ場合はメンテナンス表示に切り替える | 被害が続く状態のまま様子を見る |
| 3. 入口を塞ぐ | 管理画面のパスワード変更、不要アカウントの停止、FTP等の認証情報の変更 | パスワードを変えずに復旧だけ行う |
| 4. 到達範囲の確認 | 個人データの保存場所を特定し、ログと突き合わせる | 「たぶん大丈夫」で済ませる |
| 5. 報告と復旧 | 報告対象ならまず速報。復旧は原因を特定してから | 原因不明のままバックアップを戻す |
改ざんは法律上の報告対象になりますか？
なり得ます。ここは見落とされやすい論点です。
個人情報保護委員会は、個人データの漏えい等について報告が義務となる事態を4つに分類しています。そのうちの一つが「不正の目的をもって行われたおそれがある行為による漏えい等」で、同委員会はこの類型の例示として、不正アクセスやランサムウェアによる暗号化と並んでウェブサイト改ざんを挙げています。
つまり、改ざんによって個人データが漏えいした、あるいは漏えいしたおそれがある場合、報告は任意の判断ではなく義務になります。報告・通知の対象は「個人データ」です。
期限は、発覚後まず速報を概ね3〜5日以内、続いて確報を発覚日から30日以内に行うとされています。不正な目的で行われたおそれがある場合の確報は、発覚日から60日以内です。あわせて、本人への通知も義務となります（2026年11月時点）。
改ざんの疑いがある場合は、復旧の前にご連絡ください
サイトのURL、気づいた日時と経緯、CMSとサーバーの種類、バックアップの有無、管理画面にログインできるかの5点をお知らせください。初動として何から着手すべきかをご返信します。保守契約が他社の場合でも構いません。
なぜ改ざんは繰り返されるのか
一度改ざんされたサイトが再び同じ被害に遭うのは、表示を戻しただけで入口が開いたままだからです。攻撃者は侵入後、次回も入れるように別の裏口を仕込むことがあります。改ざんされたファイルを消しても、この裏口が残っていれば数日で元の状態に戻ります。
| 再発のパターン | 何が起きているか | 必要な対応 |
|---|---|---|
| 数日で同じ改ざんが再発 | 侵入経路が塞がれておらず、同じ手口で再侵入されている | 脆弱性の特定と修正。CMS・プラグイン・実行環境の更新 |
| 復旧後に別の場所が改ざんされる | 初回侵入時に設置された裏口が残っている | 全ファイルの精査。クリーンな環境への移行も検討 |
| バックアップから戻したら再発 | バックアップ自体が改ざん後のもの | 改ざん発生時期の特定と、それ以前の世代からの復元 |
| 原因が特定できない | ログの保存期間が短く、侵入時点の記録が残っていない | ログ保存期間の見直し。再構築の判断 |
4つ目の「原因が特定できない」は、復旧コストが最も読めなくなるパターンです。特定できなければ、どこまで戻せば安全かも判断できません。ログの保存期間は平時に確認しておくべき項目で、保守契約の内容を見直す際の確認ポイントでもあります。
平時にやっておくべきこと
改ざんは、発生確率を下げる対策と、発生したときに早く気づく対策の2つに分かれます。どちらも特別な製品を買う話ではなく、運用で決まる部分が大きい領域です。
| 目的 | やること | 確認のしかた |
|---|---|---|
| 発生確率を下げる | CMS・プラグイン・実行環境を更新し続ける | 更新の担当者と頻度が決まっているか |
| 発生確率を下げる | 管理画面にIP制限または二要素認証をかける | URLを知っていれば誰でもログイン画面に到達できないか |
| 発生確率を下げる | 退職者・不要アカウントを棚卸しする | 現在のアカウント一覧を出せるか |
| 早く気づく | 改ざん検知の通知を現役の担当者に届ける | 通知先のメールアドレスが生きているか |
| 早く戻せる | バックアップから実際に復元を試す | 復元手順を試したことがあるか |
具体的な点検項目はホームページ保守と脆弱性対応の記事で、実際に脆弱性が公表されたときの動き方はPHPの脆弱性PHP2shellへの対応手順で扱っています。社内の体制づくりから整理したい場合はDX推進体制の作り方もあわせてご覧ください。
Webサイト改ざんに関するよくある質問
Q. Webサイトが改ざんされたら、必ず個人情報保護委員会に報告が必要ですか？
A. 必ずではありません。報告義務が生じるのは、個人データの漏えい等（またはそのおそれ）が発生した場合です。個人情報保護委員会は、報告対象となる事態の一つとして「不正の目的をもって行われたおそれがある行為による漏えい等」を挙げ、その例示にウェブサイト改ざんを含めています。したがって、改ざんにより個人データが漏えいした、または漏えいしたおそれがある場合は報告対象になります。閲覧のみのページが書き換えられ、個人データに一切到達されていないことが確認できれば、報告対象外となる余地があります。
Q. 「漏えいしたおそれ」が判断できません。どうすればよいですか？
A. 判断に必要なのはサーバーのアクセスログと、個人データの保存場所の特定です。この2つが分からない状態では「おそれなし」と結論づけられません。実務上は、ログが残っていないこと自体が「否定できない」という判断につながります。平時にログの保存期間を確認しておくことが、有事の判断材料になります。
Q. 報告の期限はいつまでですか？
A. 個人情報保護委員会は、発覚後まず速報を概ね3〜5日以内に、続いて確報を発覚日から30日以内に行うとしています。不正な目的で行われたおそれがある場合の確報は、発覚日から60日以内です。改ざんはこの「不正な目的」に該当し得るため、60日が目安になります（2026年11月時点）。
Q. 改ざんされたページを削除すれば解決しますか？
A. 解決しません。表示を元に戻しても、侵入経路が塞がれていなければ再び書き換えられます。実際に多いのが、ファイルを戻しただけで原因を特定せず、数日後に同じ状態に戻るケースです。復旧の前に、入口の特定と遮断が必要です。
Q. 自社のサイトが改ざんされていることに、どうすれば気づけますか？
A. 多くの企業は外部からの指摘で気づきます。検索結果に身に覚えのない説明文が出る、ブラウザが警告を表示する、取引先から連絡が来る、といった経路です。自社で先に気づくには、改ざん検知の仕組みを入れるか、少なくとも主要ページの定期的な目視確認を運用に組み込む必要があります。
Q. 復旧にはどれくらいの期間と費用がかかりますか？
A. 改ざんの範囲と、バックアップの有無で大きく変わるため一律には言えません。参考値として、警察庁の資料ではランサムウェア被害において復旧に1か月未満で到達した組織は全体の5割弱、総額1,000万円以上を要した組織が全体の約6割とされています。改ざん単体はこれより小規模なことが多いものの、原因調査が長引くと費用は膨らみます。
Q. 対応を依頼する場合、何を伝えればよいですか？
A. サイトのURL、気づいた日時と気づいた経緯、CMSとサーバーの種類、バックアップの有無、管理画面にログインできるかどうかの5点をお知らせください。この5点があれば、初動として何から着手すべきかをご返信できます。
まとめ
Webサイトの改ざんで最も損をするのは、慌てて復旧してしまい原因が分からなくなるケースです。記録 → 入口を塞ぐ → 到達範囲の確認 → 報告判断 → 復旧の順序を、事故が起きる前に共有しておいてください。
そして、改ざんが個人情報保護法上の報告対象になり得ることは、担当者だけでなく経営層と共有しておく価値があります。報告には期限があり、判断には材料が要るためです（2026年11月時点）。
改ざんの再発防止まで含めてご相談いただけます
「復旧はしたが原因が分からない」「また同じことが起きないか不安」という段階でも構いません。現在の状態を確認し、入口が残っていないかの見方と、平時の運用で埋められる部分をご提案します。
出典
- 漏えい等報告・本人への通知の義務化について（個人情報保護委員会）
- 漏えい等の対応とお役立ち資料（個人情報保護委員会・報告期限の記載）
- 情報セキュリティ10大脅威 2026（プレス発表）（独立行政法人情報処理推進機構（IPA）・2026年1月29日公表）
- 令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁サイバー警察局・令和8年9月）
運営：株式会社キャンバス（canvas-works.jp）— AIを前提に価値をつくるデジタルクリエイティブ／システム開発企業。体験型コンテンツ開発・AI開発・自社パッケージ（ぬりえスタジアム／バッティングヒーロー／デジスポ／フライングペイント／フォトフォトAI／ディノコア創世記）を展開。2012年創業・第15期、累計1500件超のDX活用支援実績。