中小企業のホームページも乗っ取られる｜小さなサイトが狙われる理由

ホームページの乗っ取りは大手の会社だけの話ではなく、中小企業やお店のサイトでも起きています。攻撃の多くはプログラムが手入れの遅れたサイトを探して入るもので、会社の大きさでは選ばれません。

JPCERT/CC（国内のサイバー攻撃の報告を受け付けて対応を調整する組織）に届いたWebサイト改ざんの報告は、2026年4〜6月に181件でした（JPCERT/CCの2026年4〜6月の四半期レポート）。前の3か月の90件から約2倍に増えています。これは届いた報告の数で、国内の被害の総数ではありません。

この記事ではまず小さなサイトがなぜ狙われるのかと、なぜ持ち主が気づきにくいのかを説明します。弊社のサイトが乗っ取られたときに何が起きたかも書きました。最後に狙われやすいサイトの分かれ目と、御社が今日やることをお伝えします。

国内のサイト改ざんの報告は3か月で倍になった

JPCERT/CCの同じレポートには改ざんの中身の例も載っています。国内の複数の正規のサイトが書き換えられ、Googleの巡回ロボットとして開いたときだけ海外のオンラインカジノの内容が出る状態になっていました。

巡回ロボットとは、検索結果を作るためにGoogleがサイトを読みに来るプログラムのことです。人が開くと普通のページなのに検索エンジンにだけ別の中身を見せていたことになります。JPCERT/CCはこれを検索結果の上位に出ることを狙った手口と見ています。

被害が出たときの影響も小さくありません。IPA（情報処理推進機構）が中小企業4,191社に聞いた調査では、過去3期にサイバー被害が起きた企業の被害額は平均73万円でした（IPAの2024年度の中小企業の調査）。この被害はホームページの改ざんに限りません。被害が起きた企業の約7割は取引先にも影響があったと答えています。

国内でもサイトの改ざんの報告は増えていて、中小企業も被害を受けています。

乗っ取りはプログラムが手入れの遅れたサイトを探して起きる

では小さな会社のサイトまで狙われるのはなぜでしょうか。攻撃する側は1社ずつ相手を選んでいるわけではありません。

Googleはサイトの弱点に付け込んで持ち主の許可なく置かれたものを「ハッキングされたコンテンツ」と呼び、スパムに数えています（Googleのウェブ検索のスパムに関するポリシー・2026年9月2日更新）。入口になるのはサイトの弱点です。会社の名前や大きさではありません。

WordPressでは本体とは別の開発者が作るプラグイン（機能を足す追加の部品）に弱点が集まっています。プラグインに弱点が集まっている数字は別の記事で紹介しています。

WordPressの安全を調べているPatchstackの報告では、深刻な弱点は自動の大規模な攻撃に使われやすいとされています（Patchstackの2026年版の報告・2026年2月25日更新）。同じ報告によると攻撃する側は古い弱点も試し続けます。更新されていないサイトに入れることを期待しているからです。

Sucuriというセキュリティの会社は、2024年に7千万回を超えるサイトの検査で1,176,701件の感染したサイトを見つけました（Sucuriの2024年の報告）。これはSucuriの検査を受けたサイトの集計で、世界のサイト全体の割合ではありません。それでも1年で100万件を超える感染したサイトが見つかっています。

攻撃する側が探しているのは会社の大きさではなく更新されていない部品です。だから「小さい会社だから狙われない」という考えは当てはまりません。

訪問者だけを海外のサイトへ飛ばすので持ち主は気づきにくい

小さなサイトの乗っ取りがやっかいなのは、入られても持ち主がなかなか気づかないことです。

Googleの同じポリシーには、乗っ取った人が持ち主に気づかれないように見せる中身を変えることは珍しくないと書かれています。例として挙がっているのはパソコンでは普通のページを見せて、スマホの人だけを別のサイトへ飛ばす手口です。

Sucuriの報告にもWordPressの管理者がログインしていると動きを変える不正なプログラムが出てきます。乗っ取ったサイトに日本語の偽のページを大量に作り、訪問者を中国のECサイトへ飛ばす手口も書かれています。

担当者が御社のサイトを見るのは、たいていログインした状態のパソコンからです。そのため担当者の画面ではいつもどおりに見えてしまいます。

気づくのが遅れると検索にも影響が出ます。Googleのポリシーに違反しているサイトは検索結果での順位が下がったり、まったく出なくなったりすることがあります。

Search Console（Googleが出しているサイトの状態を確かめる道具）のヘルプによると、セキュリティの問題が見つかったサイトは検索結果に警告のラベルが付くことがあります（Search Consoleのセキュリティの問題レポートのヘルプ）。開こうとした人のブラウザに警告のページが出ることもあります。直したあとにGoogleへ頼む再審査は、ほとんどが数日から数週間かかります。

乗っ取りは持ち主の画面では見えにくいので、気づくのが遅れるほど検索への影響が広がりやすくなります。

弊社のサイトは検索結果まで海外の商品名に変わった

これは弊社も経験しました。2024年ごろにWordPressで動かしていたころの弊社のサイトが乗っ取られました。

最初に起きたのは訪問者が海外のECサイトに飛ばされるようになったことです。ところが管理画面も見た目もいつもどおりで、普通に開いただけでは何も起きませんでした。

次に検索結果に出る弊社のサイトの説明文が書き換えられ、海外の商品の商品名が出るようになりました。検索での評価が落ちて弊社には大きな痛手になりました。入られた原因ははっきりしていません。プラグインの弱点から入られた可能性があります。

直す作業も簡単ではありませんでした。乗っ取った人はあとから何度でも入れるようにバックドア（裏口）を仕掛けていました。その場所を確かめるのに非常に時間がかかりました。見つけて潰しても次のものが出てきて、一瞬でサイトが書き換えられました。

最後は別のサーバーを立てて、ドメイン（サイトの住所）のつなぎ先を新しいサーバーに切り替えました。サイトは作り直しになりました。

弊社の場合は直し続けるより新しいサーバーで作り直す方が確実でした。これは弊社の1件の経験です。どのサイトにも作り直しが要るわけではありません。

狙われやすく気づくのが遅れるサイトの分かれ目

ここまでの中身を踏まえると、狙われるかどうかを決めるのは会社の大きさではありません。サイトの手入れと見張りの担当が決まっているかどうかです。次の表で御社がどちら側かを確かめてください。上司に見せる資料にもそのまま使えます。

5つとも左の列なら今の手入れを続けてください。大きく変える必要はありません。

1つでも右の列があるなら、その項目の担当を決めてください。社内で担当を決められないなら保守を頼む時期です。保守を頼むときの作業の中身と費用の相場は別の記事で紹介しています。

御社が今日やること

次の5つは今日確かめられます。どれもGoogleの検索か管理画面から見られます。

1. Googleで「site:」に続けて御社のドメインを入れて検索し、知らないページや海外の商品名が出ていないかを見る
2. ログインしていないスマホで御社のサイトを開いて、別のサイトに飛ばされないかを見る
3. Search Consoleを開いて「セキュリティの問題」のレポートに何か出ていないかを見る
4. WordPressの管理画面の「プラグイン」を開いて更新が溜まっている数を数える
5. 保守の会社かサーバーの管理画面で最後のバックアップの日付を確かめる

やりがちな失敗は、おかしなページを見つけてすぐに消してしまうことです。消す前にファイルとデータベースの控えを取ってください。控えがあれば入られた跡を後から調べられます。

管理画面に入らずに外から分かる状態を先に知りたいときは無料のWordPress診断で確かめられます。

弊社がやっていること

弊社はこれまで他社が作ったサイトの保守を70社ほど引き継いできました。引き継ぎの点検でよく見つかるのはプラグインが古いままのサイトと、バックアップが取られていないサイトです。

引き継ぐときは何かを触る前にファイルとデータベースを丸ごと控えに取り、戻せることを確かめます。そのうえで次のことを確かめます。

• 本体やテーマが直接書き換えられていないか
• プラグインの一覧と最終更新日
• 乗っ取りの跡が無いか
• 使われていない古いアカウントが残っていないか

更新は試しの環境で表示が崩れないかを試してから本番に当てます。引き継いでから毎月の保守を始めるまでは2週間ほどです。

弊社のサイトは今はWordPressからmicroCMSとNext.jsに載せ替えて動かしています。ただし全ての会社に載せ替えをすすめることはしません。手入れが続いているサイトなら今のWordPressのまま使い続けてよいとお伝えしています。

一方で弊社にできないこともあります。弊社のサイトが入られた原因をプラグインの弱点だと言い切ることはできません。Googleの再審査にかかる期間を弊社が縮めることもできません。

保守と引き継ぎの点検の料金は料金の一覧に載せています。御社のサイトの状態が分からないときは相談の窓口からご連絡ください。初回の30分は無料です。