WordPress 改ざんに気づいた日、制作会社が最初の24時間でやること──隔離・保全・連絡・復旧・再発防止を、慌てて消さない順番で

この記事は、お客様のサイトでWordPress 改ざんが起きたとき、制作会社が最初の24時間で取るべき動きを扱います。

「サイトが変なページに飛ぶんですが」と電話が来たら

「検索から入ると、知らないサイトに飛ばされると言われたんです」

お客様からこの電話が来たとき、多くの制作会社は、すぐに管理画面に入り、怪しいファイルを消し始めます。
早く直したい気持ちは、正しい。けれど、この順番が、あとで一番困る状況を作ります。

何が起きたのか、いつからなのか、どこから入られたのか。
消したファイルは、その手がかりでした。

改ざんの初動対応とは、被害を広げないように隔離し、証拠を残し、関係者に連絡してから、きれいな状態に戻し、入口を塞ぐまでの一連の手順である

黒字化の外科医です。改ざんの初動を、制作会社の立場で、慌てて消さない順番に解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

順番が大切な理由は、三つあります。

第一に、記録がないと、原因も範囲も説明できないから。
WordPress.orgの公式の手引き（FAQ My site was hacked）は、最初の行動として「記録」を挙げています。何を見て改ざんと判断したか、気づいた時刻、最近どんな変更をしたか。これが、あとの報告の土台になります。

第二に、入口が残ったまま直しても、また入られるから。
同じ手引きは、復旧のあとにも、パスワードをもう一度変えることを求めています。入口を特定し、塞ぐまでが復旧です。

第三に、制作会社はお客様の「代わりに」動いているから。
サイトの持ち主はお客様です。公開を止めるか、誰に連絡するか、の判断は、お客様と合意して進めます。

今すぐ試せる：改ざんの状況を時系列に整理するプロンプト

私はWeb制作会社で、お客様のWordPressサイトが改ざんされた可能性があります。
次のメモを、報告に使える時系列の記録に整理してください。

【メモ】
・最初に気づいた人と、気づいた日時：〔　〕
・見えている症状（表示、転送、検索結果、警告など）：〔　〕
・直近の作業（更新、プラグインの追加、担当の変更など）：〔　〕
・ここまでに自社が取った行動：〔　〕
・サーバー会社、お客様への連絡の状況：〔　〕

1. 日時の順に並べた表にする。
2. 「確認済みの事実」と「推測」を分けて書く。
3. まだ確認できていないことを、一覧にする。

推測を事実のように書かないこと。

改ざん初動工場：最初の24時間の5段階

1. 隔離（被害を広げない）

□ お客様に状況を伝え、公開を止めるか（メンテナンス表示にするか）を合意する
□ サーバー会社に連絡し、同じサーバーの他サイトへの影響を確認する
□ 管理画面、FTP・SFTP、サーバーの管理パネル、データベースのパスワードを変える
□ 管理者の一覧を確認し、心当たりのないアカウントを記録する（すぐ消さない）

WordPress.orgの手引きは、パスワードを変える範囲として、管理画面だけでなく、FTP・SFTP、サーバーの管理パネル、データベースを挙げています。ログイン中の人を締め出すために、wp-config.phpの認証用の鍵を新しくする方法も示しています。

2. 保全（証拠を残す）

□ 気づいた日時と症状を、画面の記録とともに残す
□ 掃除を始める前に、今の状態（ファイルとデータベース）を丸ごと複製する
□ サーバーのアクセスログ、エラーログを取得する
□ 作業に使っている社内のパソコンも、ウイルス検査をする

改ざんされた状態のままでも、複製を1つ取っておきます。手引きも、掃除の前にもう一度環境の写しを取ることを勧めています。手引きは、手元のパソコンが攻撃の起点になっている場合も多いとして、端末の検査も求めています。自社の端末も、確認の対象です。

3. 連絡（誰に、何を）

・お客様：第一報（わかっていること／わかっていないこと／次の連絡の時刻）
・サーバー会社：状況の共有、バックアップの有無の確認
・IPA「企業組織向けサイバーセキュリティ相談窓口」：初動対応の助言、専門業者の紹介
・JPCERT/CC：インシデント報告（改ざんされたサイトへの対応依頼も受付対象）

個人情報が漏えいした可能性があるなら、お客様の側で、報告や本人への通知が必要かの判断が始まります。制作会社の役割は、判断に必要な事実を早く正確に渡すことです。

▶ 個人情報の漏えい、報告は誰がいつまでに──報告対象の4類型、速報と確報の期限、制作会社が委託元へ「速やかに」知らせる流れ

4. 復旧（きれいな状態に戻す）

□ 改ざん前の、きれいなバックアップがあるか確認する
□ ない場合は、本体を同じバージョンで入れ直す（wp-admin、wp-includes）
□ テーマとプラグインは、公式の配布元から入れ直す
□ .htaccess、index.php、テーマのheader.php・footer.php・functions.phpを確認する
□ 復旧後に、本体・テーマ・プラグインを最新にする
□ もう一度、すべてのパスワードを変える

5. 再発防止（入口を塞ぐ）

・入られた入口の推定（古いプラグイン、弱いパスワード、端末からの漏えい など）
・塞いだ内容
・今後の運用の変更（更新の方針、管理者の数、二段階認証）

ここまでを、お客様に報告書として渡して、初動は終わりです。

構造的なリスク

逆説を指摘しておきます。

初動が上手な制作会社ほど、「改ざんされても、すぐ直してくれる会社」と思われ、その対応が無償になりがちです。
けれど、改ざんの対応は、通常の保守とは別の、まとまった作業です。

保守契約に「インシデント対応は別料金、時間単価いくら」と書いておかないと、最も重い作業を、最も安く引き受けることになります。

よくあるQ&A

Q. 掃除のほうが早いので、まず怪しいファイルを消してはいけないのか？

消す前に、複製を1つ取ってください。原因の調査や、お客様への説明で、あとから必ず必要になります。

Q. 自社が保守していた間に改ざんされた。責任はどうなるのか？

契約の範囲と、実際に行っていた作業によって変わります。まず事実を記録し、責任の話は、契約書を確認したうえで、必要なら専門家に相談してください。

▶ Web制作会社の責任と損害賠償は「サイトが攻撃された日」に問われる──制作と保守で違う責任の形、契約で決める上限・免責・範囲外・お客様の義務

Q. お客様に、何をどこまで伝えればいいのか？

わかっていることと、わかっていないことを分けて伝えます。次にいつ連絡するかを、必ず添えてください。文例は、有料の記事にまとめています。

最後に

改ざんの初動で一番大切なのは、速さではなく順番です。

隔離し、記録を残し、連絡してから直し、入口を塞いだ会社だけが、事故のあとも、お客様から信頼される保守の会社でいられるのです。

報告の文例や記録シートは、こちらにまとめました。

▶ WordPress 改ざん 対応の初動キット──インシデント対応手順書、第一報・続報・完了報告の文例、記録シート、再発防止報告書の型とAIプロンプト

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #WordPress #改ざん #セキュリティ #インシデント対応 #制作会社経営 #中小企業 #保守契約 #リスク管理 #Web制作