ホームページに知らない文章が載っている、検索結果に無関係な商品ページが出る、お客様から「別のサイトに飛ばされた」と連絡が来る。こうした異変に気づいたら、制作会社や保守会社へ緊急連絡し、公開停止と記録の保存を並行して依頼します。
発注側で先にそろえたいのは、見つけた日時・対象のURL・何がいつもと違うかという情報です。原因の特定や復旧操作を一人で引き受けず、誰に何を伝え、どの条件がそろったら再開するかを決めていきましょう。
ホームページの改ざん対応は公開停止と記録の保存から
ホームページの改ざんが分かった時は、利用者が被害に遭わないよう公開を止め、調査に必要な記録を残すことを優先します。警察庁も、被害時のサービス停止と、管理画面やデータベースへのアクセスログなどの保全を案内しています。
初動管理会社へ同時に頼むこと
公開停止の対応とログ・ファイルなどの保存を、緊急の依頼として一緒に伝えます。完全な原因特定や記録の収集を待って、停止を遅らせないようにしましょう。
見つけた画面と時刻を残し、勝手に削除しない
まず、すでに表示されている異常な画面や、お客様から届いた連絡を保存します。その際は発見した時刻と最後に正常だと確認した時刻を分けて書き、分からない欄は「不明」のままにして、発見した時刻を侵入された時刻と取り違えないようにしましょう。
たとえば検索結果で異変に気づいたなら、検索した言葉・表示されたページ名・URL・確認日時を記録し、検索結果の画面を残します。ただし、証拠を増やすために不審なページを何度も開いたり、表示されたファイルをダウンロードしたりしないでください。
サーバーのログは「いつ、どこから、何にアクセスされたか」などの記録で、管理会社側で取得するものもあります。このため、自社で見える画面だけを保存して終わりにせず、ログが残っているうちに保管を依頼するところまで進めます。
公開停止とサーバーの電源断を分ける
公開を止める方法は、契約サービスや被害の範囲によって異なります。自己判断でサーバーの電源を切ったり、初期化したりすると調査に使う情報を失うおそれがあるため、停止の操作は管理会社や専門家の指示を受けましょう。
サーバーを初期化する
調査用の記録を保管する
同じサーバーで会社メールも扱っている場合は、Web公開とメールの停止範囲も確かめたいところです。サイトを止めるために契約を解約したり、ドメインの設定を変えたりせず、「メールや別サイトへの影響を抑える停止方法」を担当者に確認します。
ホームページ改ざんに気づくサインとチェックの限界
ホームページの改ざんは、トップページの文章が変わる形だけで起きるものではありません。検索結果・入力先・管理アカウントの異変も手掛かりになるため、見た目が元どおりでも管理側の確認が必要です。
異変を見つけた場所ごとに連絡材料をそろえる
| 気づく場所 | 異変の例 | 伝える材料 |
|---|---|---|
| 画面・移動先 | 知らない表示 | URLと画面 |
| 検索結果 | 無関係なページ | 検索語と日時 |
| お客様の連絡 | ウイルスの警告 | 通知の原文 |
| 管理画面 | 知らない利用者 | 確認した日時 |
検索結果を確かめる方法として、警察庁は「site:」の後ろに自社ドメインを入れ、見覚えのないページが出ないかを見る方法を挙げています。自社と無関係なページが見つかった時は、その検索結果を管理会社へ渡すと調査の手掛かりになります。
一方で、検索結果に異常がないことや、トップページが普通に見えることだけでは未改ざんとは判断できません。自社での確認は連絡材料を集める範囲にとどめ、不審なスクリプトや管理用ログの調査は技術担当へ依頼します。
自社で残す情報
既に見つけた画面、届いた連絡、発見時刻を記録する。
技術担当が調べる情報
ファイルや設定の変更、不審な管理者、サーバーのログを調べる。
表示崩れだけで改ざんと決めつけない
画像が表示されない、レイアウトが崩れる、ページが開かないといった症状には、更新作業や障害など別の原因も考えられます。その場合は、直前に更新した人と作業内容を確認し、「改ざんの疑いがある」として緊急調査を依頼する形にします。
逆に、不審な入力画面への転送や、見覚えのないファイル配布が見つかった場合は、原因が確定するまで利用者への公開を続けない判断が必要です。停止を依頼したうえで、担当者が調査結果と次の対応を返す時刻を取り決めましょう。
注意画面の警告先へ認証情報を入力しない
異常なページ上の「修復」「認証」などの案内を信用せず、以前から利用している正規の管理画面や契約窓口を使います。連絡先も不審な表示から探さず、契約書や過去のやり取りで確かめましょう。
改ざん対応を最初に頼む相手と伝える内容
ホームページの運用を委託しているなら、最初の技術連絡先は日頃の保守・運用を担当する会社です。制作した会社が保守まで担っているとは限らないため、契約書や請求書で運用窓口を確かめ、社内責任者にも同時に知らせます。
制作会社・サーバー会社・自社の役割
| 相手 | 最初に頼むこと | 先に渡す情報 |
|---|---|---|
| 制作・保守会社 | 停止と被害調査 | URL・異変・日時 |
| サーバー会社 | 停止とログ保管 | 契約情報・状況 |
| 社内責任者 | 判断と社外案内 | 現状と影響範囲 |
| 警察の相談窓口 | 被害の通報・相談 | 保存資料・経緯 |
保守会社と連絡が取れなければ、契約しているサーバー会社へ停止やログ保管の可否を相談します。ただし、サーバー会社がサイト内部の調査や改ざん除去まで行うかは契約次第なので、依頼できる範囲と次に必要な担当を聞きましょう。
警察への通報・相談は、復旧の外注先探しとは別に進めます。警察庁の案内では、保存したアクセスログ等を持参して最寄りの警察署やサイバー犯罪相談窓口へ相談し、事前に電話で担当者・日時・資料を調整する流れが示されています。
発注側としては、誰が公開を止め、誰が原因を調べ、誰が再開を承認するかを一通のメールに残すと、その後の連絡をまとめやすくなります。契約範囲が曖昧なら、ホームページ保守会社へ頼める作業と契約範囲をもとに、今回引き受けてもらえる作業を確かめます。
最初の連絡で使える依頼文
文例管理会社への緊急連絡
件名:ホームページの改ざん疑い・公開停止と調査のお願い
当社ホームページで不審な表示を確認しました。
対象URL:自社の対象URLを記入
発見日時:確認した日時を記入
症状:表示の変更や転送先などを記入
最後に正常と確認した日時:不明なら不明と記入
利用者への影響を防ぐため、公開停止の対応と、アクセスログ・関連ファイル等の保存をお願いします。
メールや他サイトへの影響、調査を担当する方、次の状況報告の予定もお知らせください。
当社側の連絡担当と折り返し先:担当者・連絡先を記入
緊急連絡は電話などでも行い、続いてこの内容をメール等に残すと依頼の記録になります。パスワードや認証コードを連絡文へ書き込まず、必要な情報の受け渡しは管理会社が指定する安全な方法で行います。
自社で決めること
技術担当へ頼むこと
ホームページ改ざん後のパスワード変更と復旧確認
ホームページの改ざん対応では、侵入に使われた原因への対処と、影響した範囲の確認を復旧と合わせて進めます。ページの文章を元に戻せても、侵入に使われた認証情報や不正なファイルが残っていれば、対処が終わったとは判断できません。
パスワードは対象を確かめて速やかに変更する
変更を急ぎたいのは、不正に使われた可能性がある管理画面・サーバー・接続用アカウントのパスワードです。管理会社と対象を共有し、利用者のPCにも異常がないか確かめながら、安全を確認できる端末と正規の管理画面で変更します。
同じパスワードを別のサービスでも使っていたなら、その使い回し先も変更対象になります。また、知らない管理者を見つけても、記録を残さず自己判断で削除しないようにし、無効化やログイン状態の解除が必要かを技術担当へ伝えます。
その際、パスワード変更とソフトウェア更新の担当が別々なら、どちらを誰が実施したかを記録してもらいましょう。WordPressを使っている場合も、WordPress更新とは別に確認が必要なPHPの脆弱性のように、サイトのプログラムとサーバー側で担当範囲が分かれることがあります。
バックアップは正常な状態か確かめてから戻す
復旧にバックアップを使う場合は、保存日時に加えて、その中身が改ざん前の正常な状態かを確かめます。発見まで時間が空いていれば、発見前日の保存データにも不正な変更が含まれているおそれがあり、「新しいバックアップだから安心」とは言えません。
そのため、上書き前に調査用のデータを保管してもらい、正常なファイルや設定と比較した結果を聞きます。原因を残したままバックアップだけ戻して再公開しないことが、復旧を依頼する時の確認事項になります。
再公開前に管理会社から受け取る報告
- どこが変更され、どこまで調べたかと、まだ分かっていない範囲
- 原因に対して行った更新・設定変更・認証情報の変更
- 不正なファイルや管理者等の確認結果と復旧に使ったデータ
- 表示・入力先・主要機能の確認結果と再開後の監視担当
この報告で確認したいのは、「表示が戻った」という結果と「原因に対処した」という結果がそろっているかです。調査が終わっていない範囲は残課題として受け取り、再開の可否や時期を自社責任者と管理会社で判断します。
取引先への案内文は分かった事実と調査中を分ける
ホームページを止めたら、安全を確認できる別の媒体で利用者へ状況を知らせます。被害のあるサイト内へお知らせを追加することだけに頼らず、会社のSNSや営業担当からの連絡など、使える経路を選びましょう。
原因や復旧時期が分からない段階の文例
文例調査中で公開を止めている場合
当社ホームページで不審な表示を確認したため、現在、公開を停止し、原因と影響範囲を調査しております。
ご利用の皆様にはご不便とご心配をおかけしております。
再開時期は現在未定です。状況が分かり次第、この案内を更新いたします。
停止中のお問い合わせは、下記の窓口へお願いいたします。
代替窓口:安全を確認した電話番号等を記入
この文例は、不審な表示と公開停止を確認した段階で使うものです。改ざんが確定していれば「不審な表示」を確認済みの事実へ替え、原因や復旧時期が未定なら、根拠のない見通しを足さずに掲載します。
とくに、「個人情報の流出はありません」と調査前に言い切らないことが必要です。反対に、裏付けなく「全情報が漏えいした」と書くのも避け、確認済みの影響と、まだ調べている範囲を区別して伝えます。
個人データへの影響が疑われる時は報告要件も確認する
問い合わせや応募、会員登録などの個人データに影響が疑われる場合は、自社の責任者へ共有し、法令上の報告や本人への通知が必要かを確認します。個人情報保護委員会は、不正な目的の行為による個人データの漏えい等や、そのおそれがある場合などを報告対象に挙げています。
同委員会は、改ざんされたサイトで利用者が入力した個人情報が第三者へ送信された例も示しています。このため、「サイト内に顧客名簿を保存していないから報告対象外」と自己判断せず、フォームの送信先や入力情報への影響も調査してもらいましょう。
再開時は何を確認したかを案内する
文例復旧と再開を確認できた場合
停止しておりました当社ホームページは、改ざん箇所への対処と必要な確認を終え、公開を再開しました。
ご利用の皆様にはご不便とご心配をおかけしましたことをお詫び申し上げます。
今回確認した事象・影響範囲・実施した対策:公表できる確認済みの内容を記入
今後のご案内:追加の確認結果をお知らせする媒体や連絡先を記入
再開の文例も、実際に終わった確認と公表できる範囲へ書き換えて使います。停止中に受けられなかった連絡の案内は、メンテナンスのお知らせ例文の受付先や使えない機能の書き方も合わせると、営業や受付からの説明をそろえやすくなります。
よくある質問
Qホームページの改ざんが分かったら、最初に何をすればよいですか？
Aホームページの改ざんが分かったら、管理会社へ公開停止と記録の保存を緊急に依頼します。発見日時・対象URL・症状を伝え、原因が確定するまで連絡を待たないようにします。
Qサーバーの電源を切ってもよいですか？
Aサーバーの電源は自己判断で切らず、管理会社や専門家の指示を受けます。Web公開を止めることと電源を切ることを分け、調査に必要な記録を保全します。
Qパスワードを変えれば改ざん対応は終わりですか？
Aパスワード変更だけでは改ざん対応は終わりません。不正なファイルや設定、使われた脆弱性、影響範囲も調べ、原因への対処と復旧結果を確かめます。
Q改ざんされると必ず個人情報が漏れますか？
A改ざんがあっただけで個人情報の漏えいを確定することはできません。保存データやフォーム入力への影響を調べ、漏えい等やそのおそれがある場合は報告・本人通知の要件を確認します。
Q制作会社と連絡が取れない時はどこへ相談しますか？
A制作会社と連絡が取れない時は、保守契約の窓口を確認し、連絡できなければ契約サーバー会社へ停止やログ保管を相談します。サイト内部の調査まで対応するかは契約範囲を確かめます。
Q復旧時期が分からない時はどう案内しますか？
A復旧時期が分からない時は、再開時期が未定であること、現在の対応、代替の連絡窓口、続報を出す媒体を案内します。調査前に復旧日や漏えいの有無を断定しないことが必要です。
Qホームページ改ざんの再発を防ぐには何を決めますか？
Aホームページ改ざんの再発防止では、更新・アカウント管理・バックアップ・記録の保管・緊急連絡の担当と範囲を決めます。原因を踏まえた対策と、復旧後の点検を管理会社と確認します。
ホームページ改ざんの再発を防ぐために保守の担当を決める
ホームページの改ざん対応とは、利用者への被害拡大を止め、記録を保全し、原因と影響を調べて復旧・再発防止へ進める対応です。公開を再開した後も、更新・認証情報・バックアップ・監視の担当を決め、次に異変があった時の連絡先を残しておきます。
IPAも、ログの保有期間や確認できる担当の整理、不審なアカウントの点検、未適用の修正プログラムの確認を求めています。「保守を頼んでいる」という契約名だけで判断せず、誰がどこまで点検するかを書面にすると、対応の抜けを確かめられます。
出典:IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」
その分担を見直す時は、ホームページのセキュリティ対策で確認する項目をそろえ、現在の担当に続けてもらう範囲を聞きましょう。担当を替える場合も、管理会社を変更する時の引き継ぎ手順に沿って、契約・データ・権限を受け渡す段取りを決めます。
確認復旧後に手元へ残すもの
緊急の連絡先、停止と再開を決める人、調査と対処の報告、バックアップとログの保存先を一つにまとめます。次の担当者にも渡せる形にして、管理会社との認識をそろえましょう。
弊社ではサーバーの運用・管理まで行い、脆弱性が見つかった時は弊社が判断して対応しています。復旧後の管理範囲の見直しや作り直しも、予算や必要な範囲に合わせて柔軟に進められるため、方針が固まっていない段階からご相談いただけます。