Webサイトの改ざん検知とは？仕組みと更新の少ない会社に向く方法

Webサイトの改ざん検知とは、サイトのファイルやページの書き換えを見つけて、担当者に知らせる仕組みです。攻撃を止める仕組みではなく、気づくまでの時間を短くするためのものです。

今日やることは2つです。サイトの管理画面で、WordPressなどのソフトの版と最終更新日を確かめます。もう一つ、Google Search Consoleのセキュリティの問題レポート⁠を開きます。Googleの評価でハッキングなどが検出された場合、ここに結果が出ます。問題がなければ緑のチェックマークが表示されます。

更新の少ない会社案内はなぜ気づきにくい？

社内の誰もサイトを開かないからです。加えて、見た目が変わらない改ざんがあります。

JPCERT/CCの四半期レポートは、2026年7月から9月⁠に報告が寄せられたWebサイト改ざんを603件としています。前の四半期の181件から233%⁠の増加で、月別では7月116件⁠、8月194件⁠、9月293件です。報告された件数なので、気づかれていないものは入りません。

同じレポートは、次の2つ⁠の事例を挙げています。

• 正規のサイトに、海外のオンラインカジノサイトなどへのリンクを含むHTMLが、非表示で5,000行以上埋め込まれた
• ECサイトに外部からコードを取得して実行するJavaScriptが埋め込まれ、カード情報を狙った可能性がある

1つ目は、画面を開いても普通のページに見えます。たとえば、金属加工の会社が数年前に作った会社案内を、そのまま置いている場合を考えてください。営業は印刷した会社案内を使い、社員はサイトを開きません。この状態で非表示のリンクを埋められても、社内の目では見つけられません。

もう一つの理由が、更新の担当者がいないことです。制作会社に作ってもらったまま保守の契約が切れていると、WordPressやプラグインの更新を誰も見ていないことがあります。

IPAは、2026年7月22日⁠のWordPressの脆弱性の注意喚起で、自動更新が有効でなかったり失敗していたりする可能性があるとして、管理画面で版を確かめるよう呼びかけています。京都教育大学の発表は、同じ脆弱性の悪用で侵入用のファイルを置かれ、6サイト⁠の一部を改ざんされた例です。

更新が少ないサイトには、利点もあります。ふだんファイルが変わらないので、変わったこと自体が確認のきっかけになります。ファイルの比較型の通知を、更新のたびに確かめる手間も少なくて済みます。

改ざん検知の仕組みは？

調べ方で3つ⁠に分かれます。Web改ざん検知の製品比較でも同じ分け方にしています。

見つけにくいものの欄が、選ぶときの分かれ目です。京都教育大学の例では、侵入用のPHPファイルが置かれました。外から巡回する型は、公開ページから届かないファイルを調べられません。サイトにログインの機能やプログラムがあるなら、ファイルを見る型も考えます。

製品ではどう違う？

公式で確かめられる条件の例です（2026年11月7日確認）⁠。ここに挙げたのは型の違いを示す例で、製品を試したものではありません。

GREDはエージェントのインストールが不要で、URLの登録で始められると案内しています。SITE PATROLは、HTTPやFTP、sFTPでアクセスし、更新か改ざんかを分析して、検知時のメンテナンスページへの切り替えや修復を掲げるプランがあります。さくらインターネットも、メンテナンス画面への自動切り替えを案内しています。

更新の少ない会社はどう選ぶ？

最初に、サーバーの権限を確かめてください。 共用のレンタルサーバーで管理者権限がなければ、常時監視型は入れられません。そのうえで、次の順に考えます。

1. 静的なページだけの会社案内で、入力フォームもない。外部巡回型の低価格のプランから検討できる
2. WordPressなどを使い、問い合わせフォームがある。ファイル比較型も候補に入れ、本体とプラグインの更新の担当を決める
3. 受発注やカードの入力がある。検査の間隔が短い型や常時監視型を候補にし、見つけるまでの時間を社内で決める

ページ数も確かめます。製品によって調べるページ数やURL数の上限があるので、自社のページ数と照らし合わせてください。製品の資料だけで決めず、自社の次の項目を埋めてから問い合わせると話が早くなります。

• サーバーの種類と、管理者権限の有無
• ページ数と、使っているソフト
• FTPやsFTPの情報を社外のサービスへ渡してよいか
• 検知時の通知先と、夜間や休日に誰が見るか
• 検知したら自動でメンテナンス画面に切り替えてよいか

通知先は個人のアドレスにせず、共有のアドレスにします。SSL証明書の期限の通知⁠と同じ考え方で、担当者が替わっても届く形にしてください。

ECサイトでは、見張りの位置づけが重くなります。IPAのECサイト構築・運用セキュリティガイドラインは、重要なファイルの定期的な差分チェックや、Webサイト改ざん検知ツールによる監視を、運用時の必須の要件に入れています。

製品を入れずにできることは？

小さなサイトでも、手作業の点検はできます。JPCERT/CCとIPAの2015年⁠の呼びかけは、ファイル名、サイズ、更新日時、ハッシュ値の一覧を取って比べる点検を、1週間に1回程度としています。古い資料ですが、考え方は今も使えます。

続かないなら、製品に任せる部分を決めます。人の手で毎週続ける費用と比べると、低価格の巡回のほうが現実的な会社もあります。

検知だけでは入口は塞げません。脆弱性そのものを見つけるなら脆弱性診断サービスの比較、攻撃を手前で止めるならWAFの製品比較と、役割を分けて考えます。Webサイトのセキュリティの一覧に、ほかの対策もまとめています。

検知したらどの順番で動く？

慌ててファイルを消すと、調査の手がかりも消えます。次の順番で進めます。

1. 通知の内容を確かめる。自社や制作会社の更新で変わったものでないか
2. 改ざんと見られるなら、公開を止めるかメンテナンス画面に切り替える
3. ログと改ざんされたファイルの写しを残す
4. 制作会社とサーバーの契約先へ連絡し、入口を調べる
5. 脆弱性を直し、きれいな時点のバックアップから戻す
6. 管理者アカウントとパスワードを確かめて変える
7. 公開を再開し、社内と必要な相手へ知らせる

京都教育大学は、外部からのアクセスを止め、リストアと脆弱性への対応をしたうえで公開を再開したと発表しています。バックアップから戻すだけで入口を残すと、同じ経路で再び書き換えられるおそれがあります。

連絡先は先に調べておきます。IPAの不正アクセス対策特設サイトには事業者向けの特別相談窓口があり、JPCERT/CC⁠はインシデント報告を受け付けています。他社の入口の例は公式発表で整理した不正アクセス事件の記事⁠で読めます。