ホームページのセキュリティ対策：最低限やるべきことと改ざん・乗っ取り時の対応

ホームページのセキュリティ対策は、HTTPSを設定して終わりではありません。CMSやサーバーの更新、バックアップ、管理アカウント、ドメイン・DNS、メールやフォーム連携までを対象に、誰が管理し、異常時に誰へ連絡するかを決めておく必要があります。

最初に行うべきことは、管理対象・担当者・契約名義・緊急窓口を洗い出すことです。この記事を読めば、自社の未対応対策と、改ざん・乗っ取り時の初動手順を台帳に落とし込めるようになります。通常時の保守契約の見直しと、異常時の判断を切り分けて進めましょう。

セキュリティ対策は単発の設定ではなく、管理対象の把握から異常時対応、再公開後の運用までをつなげて管理します。

01Sectionホームページのセキュリティ対策は、まず管理対象と責任分界を整える

対策を始める前に、「どのサービスを誰が管理できるのか」を明確にします。CMSだけを把握していても、サーバー、ドメイン、DNS、メール、フォーム連携の権限が不明であれば、障害や不正アクセスの際に復旧が遅れるおそれがあります。

IPAの中小企業向け情報セキュリティ対策ガイドラインでも、資産管理、ウェブサイトの安全な運用、外部サービスの安全性確認が対策の土台として示されています。

最初に台帳化する管理対象

各対象について、契約名義、正規管理者、自社の担当者、多要素認証の有無、緊急窓口、変更権限、バックアップ・ログの確認先を記録します。台帳は、異動や委託先変更があっても引き継げる場所で管理します。

優先度の高い基本対策と責任分界

実際に誰が作業を担うかは、契約書、保守仕様書、見積書、利用規約で異なります。以下は、発注者が確認・決裁すること、委託先へ依頼すること、サービス提供元の仕様として確認することを分けるための表です。

多要素認証やアカウント管理は、IPAの不正ログイン対策で確認できる基本対策です。利用できる認証方式やアカウント復旧の手順はサービスごとに異なるため、管理画面や正規窓口で確認してください。

HTTPSだけでは防げないリスク

HTTPSは、利用者のブラウザとサイト間の通信を保護する重要な対策です。ただし、CMSや拡張機能の脆弱性、不正ログイン、不要アカウント、バックアップ未確認までは防げません。HTTPSを導入済みでも、更新・認証・バックアップを別の管理項目として続ける必要があります。

HTTPからHTTPSへ移行する際は、TLS証明書の設定、対応するHTTP URLからHTTPS URLへの恒久的リダイレクト、主要ページ・フォームの試験、移行後の監視を行います。手順の考え方はGoogle Search CentralのHTTPS移行に関する案内で確認できます。HTTPからHTTPSへの変更では、Change of Addressツールは不要です。

02Section保守契約では「誰が何を復旧できるか」まで確認する

保守契約があるだけで、更新、監視、ログ調査、復旧、DNS変更、夜間休日の対応まで含まれるとは限りません。「保守一式」ではなく、どの資産を、どの条件で、どこまで復旧できるのかを確認します。

CMS、サーバー、ドメイン、DNS、メール、フォーム・外部連携ごとに、契約名義と正規管理者を自社で説明できる状態にしてください。とくにドメインやDNSは、表示だけでなくメールや外部連携にも影響する場合があります。

保守仕様で確認する比較項目

保守契約は「対応あり」という表現だけでなく、対象範囲、受付・対応条件、記録や成果物、対象外を比較します。

「保守一式」という表現ではなく、対象資産・対応条件・成果物・対象外を確認します。

契約の見直しを急ぐサイン

次の状態なら、契約書や保守仕様書を確認し、必要に応じて見直しを進めます。

• CMS、サーバー、ドメイン、DNSの契約名義または正規管理者を自社で説明できない
• 更新、バックアップ、監視、復旧が「対応あり」とだけ記載され、対象・記録・対象外が不明である
• 緊急時の受付条件、公開停止の決裁者、復旧承認者が決まっていない
• 旧委託先や退職者のアカウント、メール転送、外部連携が残っている
• 委託先の作業範囲と、サービス提供元へ本人確認や申請を行う範囲の境目が不明である

保守の発注、検収、委託終了時の引継ぎについては、ホームページ保守の基礎も参照してください。通常時に保守範囲、管理権限、見積条件を整理したい場合は、サービス内容を確認することもできます。

03Sectionホームページ改ざん時は、役割を分けて初動する

初動では、来訪者への影響判断、記録・証跡の保全、正規窓口への連絡を切り分けながら進めます。

意図しないページ・リンク・広告の表示、悪性サイトへの転送、不審なフォーム、検索上の警告、心当たりのない管理操作があれば、通常の更新作業ではなく初動対応へ切り替えます。表示だけを急いで直すと、調査に必要な記録を失ったり、侵入経路を残したまま再公開したりするおそれがあります。

IPAは、平時からの役割・体制、証拠保全、検知・報告・封じ込め・復旧の準備を案内しています。IPAのインシデント発生時の緊急対応体制を、社内フローを作る際の確認先にしてください。

初動時の役割分担

04Section乗っ取りが疑われる場合は、CMS以外の管理権限も確認する

改ざんは、ページ内容、リンク、転送設定などの不正変更として表面化する事象です。乗っ取りは、CMS、サーバー、ドメイン、DNS、メール、フォーム、外部連携などの管理権限が不正利用されている状態を指します。改ざんが見つかった場合も、管理アカウントの侵害がないかを確認します。

兆候から確認範囲を広げる判断フロー

表示上の異常だけで終わらせず、兆候に応じて管理権限、設定履歴、外部連携まで確認範囲を広げます。

次のいずれかに当てはまる場合は、表示中のページだけでなく、該当する管理対象へ調査範囲を広げます。

1. 1管理画面に入れない、知らない管理者がいる場合は、CMS、サーバー、クラウド管理画面を確認します。
2. 2意図しない転送・表示がある場合は、CMS、サーバー、DNS、CDNの設定変更履歴や不審なファイルを確認します。
3. 3フォーム送信先・メール転送に異常がある場合は、フォーム、メール、CRMなどの連携先、Webhook、APIトークンを確認します。
4. 4ドメイン・DNSの変更や更新に異常がある場合は、登録名義、正規管理者、登録者連絡先、DNS変更履歴、移管・ロックの状態を確認します。

どの分岐でも、パスワード変更だけで完了とは判断しません。 ログイン済みセッション、不審アカウントと権限、ログイン履歴、設定変更履歴、APIキー・トークン、メール転送が残っていないかを確認します。

正規管理者を復旧する際の注意点

契約名義や正規管理者が不明、または正規管理者がログインできないときは、検索広告や受信メールの連絡先を使わず、契約書、請求書、公式サイトで照合した正規窓口へ連絡します。本人確認・権限回復の方法は、CMS、ホスティング、ドメイン、DNS、メールのサービスごとに異なります。

多要素認証の利用、共有IDの廃止、最小権限への見直しは、復旧後の再発防止にも必要です。CMS固有の更新や設定は、WordPressのセキュリティ対策で確認してください。

05Section再公開前に確認することと、公的窓口の使い分け

再公開は、表示が戻ったことだけで判断しません。侵入経路や不正設定への対処、復元データの正常性、認証・権限、主要なページやフォームの試験、承認記録をそろえて判断します。

個人データへの影響が疑われる場合

問い合わせ、採用応募、会員、決済などの個人データが漏えい、消失、閲覧、不正取得されたおそれがある場合は、個人情報保護委員会の漏えい等対応案内で、報告・本人通知の要否、手続、報告先を確認します。

一定の要件に該当する場合の期限も案内されていますが、サイト改ざんだけで報告義務や本人通知の要否は決まりません。取扱データ、事案の内容、業種・適用条件に応じて確認してください。

犯罪被害と検索上の警告の確認先

不正アクセス、なりすまし、恐喝などの犯罪被害が疑われる場合は、警察庁のサイバー事案に関する相談窓口で、都道府県警察への相談・情報提供の方法を確認します。これは技術的な調査や、契約先への復旧依頼に代わるものではありません。

Google検索やブラウザに警告が出た、不正コンテンツが疑われる場合は、所有権を確認済みのプロパティでGoogle Search Consoleのセキュリティの問題レポートを確認します。このレポートのURL例は網羅的ではないため、影響範囲や侵入経路、再公開可否を単独で確定する用途には使いません。修正後の再審査に要する期間も状況により変わるため、再公開日や警告解除日を予測する根拠にはしないでください。

06Section費用・期間は作業区分と条件を揃えて比較する

セキュリティ対策の費用や期間は、サイト構成、管理権限、更新状況、ログ・バックアップの可用性、対応時間、復旧範囲で大きく変わります。公開情報だけでは同じ条件で比較できる一般的な金額・日数の根拠が十分ではないため、相場を推測するより、依頼範囲と条件をそろえて見積比較することが実務的です。

依頼を4つの作業区分に分ける

• 現状調査：資産台帳、契約・権限、設定、ログ、バックアップの確認と調査報告
• 基本改善：HTTPS、更新、権限・多要素認証、不要機能整理、バックアップ・復元確認を変更単位で実施
• 継続保守：更新、バックアップ、監視・通知、報告、保守検収を継続的に実施
• 緊急調査・復旧：初動、証跡保全、封じ込め、復旧、再公開確認、必要に応じた対外連絡の整理

通常運用の改善と、異常時の調査・復旧は分けて比較してください。 現状調査と緊急調査・復旧を同じ依頼として扱うと、受付条件や成果物が曖昧になりやすくなります。

07Section継続運用では、実施条件・記録・引継ぎを残す

セキュリティ対策は、設定時だけで完了しません。一律の更新周期を決めるよりも、更新通知の緊急度、サイトの重要性、個人データの取扱い、契約上の監視体制に応じて、実施条件と記録を決めることが重要です。

5つの運用タイミングで管理する

1. 1通知受領時：通知の受領者と代理者を決め、確認日時、判断、依頼先を残します。影響が不明な通知やログイン不能は、技術担当・保守窓口へ連絡します。
2. 2更新時：更新対象、バックアップ、検証、本番反映、主要ページ・フォーム・メールの確認を一連の記録として残します。
3. 3定期点検時：バックアップの成功だけでなく復元可能性、管理者・権限、証明書期限、不要機能を確認します。
4. 4担当変更・委託終了時：契約名義、正規管理者、多要素認証、手順書、バックアップ、緊急連絡先を引き継ぎ、旧担当者の権限を停止します。
5. 5異常時：改ざん、乗っ取り、警告、異常転送を検知したら通常運用を中断し、初動フローへ切り替えます。

保守検収で確認する記録

保守報告では、実施済みの作業だけでなく、更新を保留した理由、復元確認の結果または未確認理由、権限棚卸し、未対応事項、次回対応を確認します。対象外や追加費用が発生する条件も記録されていれば、次回の見積や引継ぎで判断しやすくなります。

バックアップは、取得記録だけでは十分ではありません。復元に使えるデータか、どの対象をどの条件で復元確認したかを残します。CMS別のバックアップ取得・復元確認の実務は、WordPressバックアップの実務を参照してください。

08Sectionホームページのセキュリティ対策でよくある質問

ホームページの安全性を支えるのは、単発の対策ではなく、管理対象、責任者、契約条件、記録、緊急窓口を維持する仕組みです。まずは台帳を作り、未対応の基本対策と保守契約の不足を整理してください。異常時には、来訪者保護、証跡保全、正規窓口への連絡を並行して進めます。

ホームページの保守範囲を整理したい場合

CMS・サーバー・ドメインの管理権限、更新、バックアップ、緊急時の対応範囲を整理したうえで、保守を依頼できる会社を比較できます。

WordPress制作・保守2949社掲載

WordPress制作・保守の会社を探す